- Miasma olarak bilinen özel bir solucan virüsü, kritik Azure altyapısı da dahil olmak üzere 73 resmi Microsoft GitHub deposuna başarıyla sızdı.
- Bu kötü amaçlı yazılım, özellikle Claude Code ve Cursor gibi yapay zeka destekli kodlama aracılarını kullanan geliştiricileri hedef alarak birincil yürütme yöntemi olarak kullanmaktadır.
- Güvenlik araştırmacıları, zararlı yazılımın geleneksel npm güvenlik tarayıcılarını atlatmasına olanak tanıyan 'Phantom Gyp' adı verilen gizli bir teknik tespit etti.
- Etkilenen kuruluşların bulut kimlik bilgilerini derhal değiştirmeleri ve yetkisiz değişiklikler için depo taahhüt geçmişlerini denetlemeleri önemle tavsiye edilir.
Teknoloji topluluğu şu anda Microsoft'un önde gelen geliştirme ortamlarından onlarcasını hedef alan karmaşık bir tedarik zinciri ihlalinin sonuçlarını değerlendiriyor . Bu hafta, kötü niyetli bir varlık Azure ve MicrosoftDocs dahil olmak üzere dört büyük kuruluşta 73 depoyu başarıyla ele geçirdi ve bu da yılın yapısal olarak en önemli güvenlik olaylarından biri oldu. GitHub'ın otomatik sistemleri etkilenen varlıkları 105 saniye gibi oldukça kısa bir sürede etkisiz hale getirmeyi başarsa da, saldırının niteliği, saldırganların modern geliştirme süreçlerine bakış açısında bir değişime işaret ediyor.
Bu olayı önceki depo ele geçirme olaylarından ayıran en önemli özellik, yazılım sektöründe yapay zekanın giderek artan popülaritesine dayanmasıdır. Paket kurulumu sırasında tetiklenen geleneksel kötü amaçlı yazılımların aksine, bu tehdit, bir geliştirici yapay zeka destekli bir kodlama aracı kullanarak projeyi açana kadar pasif kalır . Kod parçacıklarını analiz etmek ve çalıştırmak için geniş yetkilere ihtiyaç duyan Cursor, Claude Code ve Gemini CLI gibi araçlar, kötü amaçlı yazılımın istenmeyen dağıtım mekanizmaları haline geldi. Bu, yapay zeka asistanlarının birincil ölçeklenebilir yürütme vektörü olarak kullanıldığı ilk belgelenmiş vakadır.
Miasmanın Teknik Mimarisini Anlamak
Teknik olarak Miasma olarak adlandırılan bu solucan, daha önce yeraltı forumlarında görülen Mini Shai-Hulud kod tabanının gelişmiş bir versiyonudur. Saldırı, aylar öncesinden geliştirici kimlik bilgilerinin ele geçirilmesiyle başladı ve bu da tehdit aktörlerinin rutin bağımlılık güncellemeleri kılıfında 4.3 MB'lık bir zararlı yazılımı enjekte etmelerine olanak sağladı . Bu commit'ler, çıplak gözle tamamen zararsız görünmek üzere tasarlanmış olup, genellikle IDE veya yapay zeka CLI aracılığıyla insan etkileşimini beklerken belirli otomatik derleme süreçlerini tetiklememek için 'skip ci' gibi etiketlerle işaretlenmiştir.
Ortam aktif hale geldiğinde, solucan çoklu bulut ekosistemleri için tasarlanmış agresif bir kimlik bilgisi toplayıcısı gibi davranır. AWS, Azure, Google Cloud Platform ve Kubernetes kümelerinden hassas belirteçleri çıkarmak üzere programlanmıştır . Bu sırları topladıktan sonra, kötü amaçlı yazılım verileri dışarı sızdırmak için otomatik olarak yeni, herkese açık depolar oluşturur ve ardından çalınan izinleri kullanarak, ele geçirilen kullanıcının yazma erişimine sahip olduğu diğer tüm depolara kötü amaçlı kod işleyerek daha da yayılır.
'Hayalet Çingene' Kaçış Stratejisi
Bu kampanyanın ardındaki teknik zekâ, standart güvenlik izleme araçlarına görünmez kalabilme yeteneğinde yatmaktadır. Çoğu npm güvenlik tarayıcısı, paket dosyaları içindeki şüpheli 'preinstall' veya 'postinstall' komut dosyalarını izlemek üzere yapılandırılmıştır. Ancak Miasma, bu kancalardan tamamen kaçınarak, bunun yerine derleme aşamasında kod yürütmeyi tetiklemek için bir binding.gyp dosyasını kullanmayı tercih eder . Sektör analistleri tarafından 'Hayalet Gyp' olarak adlandırılan bu yöntem, manifest dosyaları kadar yoğun bir şekilde düşük seviyeli derleme yapılandırmalarını izlemeyen birçok CI/CD işlem hattındaki bir kör noktayı kullanır.
Bu olay, Miasma grubunun npm ad alanlarına ve popüler açık kaynaklı veri tablosu kütüphanelerine yönelik başarılı saldırılarının ardından çok kısa bir süre içinde gerçekleştirdiği üçüncü büyük hamle. Microsoft altyapısına kadar uzanan bu tırmanış, aşağı yönlü etkiyi en üst düzeye çıkarmak için oldukça organize bir çabayı gösteriyor . Azure Search OpenAI demosu ve çeşitli kalıcı görev uygulamaları gibi projeleri hedef alan saldırganlar, modern bulut tabanlı geliştirmenin kalbine, potansiyel olarak yüz binlerce bireysel kullanıcıya ve kurumsal sisteme ulaşmayı amaçladı.
Acil Onarım ve Geliştirici Güvenliği
Son zamanlarda Azure ile ilgili depoları klonlayan veya bunlarla etkileşimde bulunanlar için güvenlik uzmanlarının önerisi, tüm yerel ortam sırlarının potansiyel olarak ifşa edilmiş olarak değerlendirilmesidir. Özellikle bulut sağlayıcıları ve paket kayıt defterleriyle ilgili olanlar olmak üzere, tüm API anahtarlarının ve kişisel erişim belirteçlerinin derhal değiştirilmesi hayati önem taşır. Ayrıca, geliştiriciler GitHub etkinlik günlüklerinde, "The Spreading Blight" gibi olağandışı adlandırılmış depoları incelemelidir; bunlar, aktif bir Miasma enfeksiyonunun veri sızdırmaya çalıştığının bilinen göstergeleridir.
Bu güvenlik açığı, yapay zekâ verimlilik araçlarının hızlı benimsenmesinde inherent olan güvenlik ödünleşmelerini çarpıcı bir şekilde hatırlatıyor. Yapay zekâ ajanları, bir geliştiricinin çalışma alanındaki kodu okumak ve yürütmek için derin erişime sahip oldukları için, kötü niyetli aktörlerin açıkça istismar etmeye hazır olduğu geniş bir saldırı yüzeyi oluşturuyorlar . İlerleyen dönemde, otomatik kodlamanın kolaylığının sistemin tamamen tehlikeye atılması pahasına gelmemesini sağlamak için sektörün, zorunlu kod imzalama ve yapay zekâ analizi için sanal ortamlar gibi daha sıkı bütünlük doğrulama yöntemlerine geçmesi gerekebilir.
Platform sağlayıcılarının hızlı müdahalesi çok daha büyük bir felaketi önledi, ancak tedarik zincirlerinin yapay zeka destekli uygulamalara karşı temel savunmasızlığı önemli bir engel olmaya devam ediyor. Geliştirme ekipleri otomatik asistanları günlük rutinlerine entegre etmeye devam ederken, odak noktası, herhangi bir harici kodun yüksek ayrıcalıklı araçlarla etkileşime girmesine izin vermeden önce depo bütünlüğünü doğrulamaya kaymalıdır . Kimlik bilgisi kullanımını izlemede ve üçüncü taraf bağımlılıklarına sıfır güven yaklaşımı benimsemede dikkatli olmak, bulut çağında kendi kendine yayılan kötü amaçlı yazılımların yeni nesline karşı en etkili savunma olacaktır.
