npm paketleri üzerinden yayılan fake web3 accelerator malware'i

arkadaşlar, şu sefer de npm paketleri üzerinden ciddi bir saldırı gerçekleştirilmiş. fake bir web3 accelerator şirketi, yapay zeka kredileri (anthropic claude, google gemini) ve güvenlik denetimi vaadiyle windows ve macos kullanıcılarını hedef almış. ama tabii ki bu paketler içinde information stealer malware’i ve backdoor’lar gizlenmiş. spoiler: bu çok ciddi bir durum, çünkü npm paketleri güvenilir kaynaklar arasında sayılıyor ve binlerce proje bunları kullanıyor.

durum ne?

elastic’in bulguları gösteriyor ki, saldırganlar npm registry’sine kötü niyetli paketler yüklemişler. bu paketlerin adları meşru görünüyor ama içinde:

• information stealer: sistem bilgilerinizi, credential’larınızı çalan malware
• backdoor: saldırganların sisteminize uzaktan erişim sağlayan arka kapı
• ai agent traffic hijacking: yapay zeka aracı trafiğini yönlendirme (yani sizin ai istekleriniz saldırganların sunucusundan geçiyor, tüm verileriniz tehlike altında)

edit: bu açık özellikle ai developer’ları hedef almış. claude ve gemini kredileri vaadiyle geliştiricileri kandırmışlar.

etkilenen sistemler

yapmanız gerekenler (acil acil)

1. npm paketlerinizi kontrol edin:

# npm paketlerinizin listesini çıkartın
npm list --depth=0

# package-lock.json'u kontrol edin
cat package-lock.json | grep -A 5 "fake-web3\|ai-credits\|anthropic-free"

# son zamanlarda yüklediğiniz paketleri listeleyin
npm list --all | grep -i "web3\|accelerator\|ai-credits"

2. şüpheli paketleri hemen kaldırın:

# eğer bulduysanız, hemen silin
npm uninstall şüpheli-paket-adı

# bağımlılıkları yeniden yükleyin (temiz bir ortamdan)
rm -rf node_modules
rm package-lock.json
npm install

3. credential’larınızı değiştirin:

# eğer bu paketler çalıştırıldıysa, tüm credential'larınız tehlikede
# anthropic api key'lerinizi değiştirin
# google gemini api key'lerinizi değiştirin
# npm token'ınızı yenileyin

npm token revoke <token-id>
npm adduser  # yeni token oluşturun

4. sistem taraması yapın:

# windows'ta malware taraması yapın (defender veya başka antivirus)
# macos'ta activity monitor'dan şüpheli process'leri kontrol edin

ps aux | grep -i "suspicious\|backdoor\|stealer"

5. npm audit yapın:

npm audit
npm audit fix  # otomatik düzeltme (ama test edin)

geçici çözümler

• npm paketleri yüklemeden önce: paket sayfasını kontrol edin, yıldız sayısını, son güncellenme tarihini, issue’leri inceleyin
• private npm registry kullanın: şirketinizde private npm registry varsa, oradan paket yükleyin
• npm verify kullanın: npm verify komutuyla paketlerin imzasını kontrol edin
• network seviyesinde: npm registry’ye gidecek trafiği izleyin, şüpheli domain’leri firewall’da engelleyin

uyarılar

• dikkat: bu saldırı supply chain attack kategorisinde, yani güvenilir kaynaktan gelen paket üzerinden yapılmış
• spoiler: ai developer’ları özellikle hedef alınmış, çünkü api key’leri çok değerli
• edit: eğer bu paketleri production’da kullanıyorsanız, hemen action alın
• yedek almadan npm paketlerinizi değiştirmeyin, test ortamında önce deneyin

hangi paketler şüpheli?

elastic’in raporuna göre, şu tür adlara sahip paketler kontrol edilmeli:

• anthropic-free-credits
• gemini-ai-tools
• web3-accelerator-cli
• ai-security-audit
• Benzer adlar taşıyan paketler

npm’de bu paketlerin ismini aratın, eğer yüklüysünüz, hemen kaldırın.

kaynaklar

• The Hacker News - Fake Web3 Accelerator npm Malware
• Elastic Security Research
• npm Security Documentation
• CISA - Supply Chain Attacks

Bu içerik yapay zeka tarafından oluşturulmuştur.