Solucan, GitHub kod aramasından kaçan çok büyük yüklerle 42 GitHub deposunu silahlandırdı

JFrog araştırmacılarına göre, ilk başta hiç kurbanı olmayan yalnızca bir test olduğu düşünülen Miasma ailesinden bir npm solucanı, 11 sahibe ait 42 gerçek GitHub deposunu gizlice silahlandırdı. Kampanya, Temmuz ayı kadar erken tarihlerde hesapları ele geçirdi ve GitHub ile otomatik tarayıcılardan gizli kalacak şekilde tasarlanmış sessiz yükler kullandı. JFrog, yük bloblarının 12,9 ile 13,7 MB arasında ölçüldüğünü ve GitHub kod aramasından kaçmak için yeterince büyük olduğunu söyledi.

Testten gerçek kurbanlara

SafeDep, 'testmetest' npm kampanyasını geçen hafta ilk kez fark etti ve 19 ile 25 Ekim arasında aynı operatöre bağlı 18 paket belirledi; bunlar arasında kimlik bilgisi çalan kötü amaçlı yazılım içeren sürümler de vardı. Daha önceki npm solucanlarında olduğu gibi kötü amaçlı yazılım kendini çoğaltıyor, kimlik bilgilerini çalıyor ve kurban çalınan GitHub belirtecini iptal ettiğinde ev dizinini silen bir silici kuruyor. 22 Ekim itibarıyla SafeDep, ele geçirilmiş üçüncü taraf paket veya kurban bulamadığını ve gözlenen tüm etkinliğin operatörün kendi test hesaplarına ait olduğunu söyledi. JFrog'un Pazartesi raporu ise analizinin bunun aksini kanıtladığını ve operatörün zaten köklü geliştiricilere ve kuruluşlara ait gerçek depoları silahlandırdığını bulduğunu söyledi.

Saldırılar nasıl çalıştı

Saldırganlar Claude, Gemini, Cursor ve VS Code dahil yapay zeka kodlama asistanları ve geliştirme araçları için çalıştırma kancaları yerleştirdi; bunların yanında gizli bir CI yayıncı yükünü çözen 12,9 ile 13,7 MB boyutundaki çok biçimli sarmalayıcılar da vardı. Ayrı olarak npm solucanı kimlik bilgilerini çalıyor, depoları ve CI yapılandırmalarını değiştiriyor ve npm paketleri aracılığıyla yayılıyor. Kötü amaçlı yazılım ayrıca ayrı bir yükü şifresini çözmek ve başlatmak için derlenmiş yerel bir eklenti kullanıyor. Çalıştırmadan önce yükleyici CI çalıştırıcılarını, kapsayıcıları, kum havuzlarını, hata ayıklayıcıları ve otomatik analiz işaretlerini denetliyor; bunları algıladığında sessizce çıkarak güvenlik tarayıcılarının tespit etme olasılığını azaltıyor.

İkinci derleme ve bağlantılı kampanyalar

Araştırmacılar ayrıca şifreli dosyayı atlayan ikinci bir derleme buldu. Bu derleme çatallanıyor, ayrılıyor ve operatörün kendi GitHub hesabındaki bir depodan bir yükleyici çeken sabit kodlu bir komut çalıştırıyor. CementBeetleSteeple adlı bu hesap toplam 17 kampanya deposu barındırdı. JFrog, bu hesabı daha önce Socket tarafından belgelenen ve ele geçirilmiş depolardaki GitHub Actions'ı kötüye kullanarak CVE-2026-41940'ı sömürmek ve sunucu kimlik bilgilerini çalmak için kullanılan büyük ölçekli bir kampanyadaki shellpanel tarayıcısına bağladı.

CVE-2026-41940, cPanel ve WHM'yi etkileyen bir kimlik doğrulama atlatmasıdır. CISA bunu Nisan ayında Known Exploited Vulnerabilities kataloğuna ekledi ve cPanel o zamandan beri yamalı sürümler yayımladı. JFrog, C2 altyapısının daha önce Socket tarafından bildirildiğini ve bulgularının aynı ele geçirilmiş sahiplerdeki artefaktlar ve iş akışları aracılığıyla bunları testmetest GitHub kurban kümesine bağladığını söyledi. Araştırmacılar 42 silahlandırılmış GitHub deposu ve internet genelinde sömürü girişimleri buldu, ancak herhangi bir alt akış cPanel ihlalini doğrulamadı.

Kaynaklar: The Register