Kaspersky, npm Shai-Hulud Solucanının Tedarik Zinciri Saldırısını Açığa Çıkardı
Kaspersky, npm ekosistemini hedef alan Shai-Hulud solucanının detaylarını açıkladı.
Kaspersky Tehdit Araştırma ekibi, npm ekosisteminde büyük yankı uyandıran Shai-Hulud solucanını ayrıntılı biçimde analiz ederek saldırının nasıl başlatıldığını ortaya koydu. 15 Eylül 2025’te keşfedilen bu zararlı yazılım, kimlik doğrulama jetonlarını çalarak geliştirici hesaplarını ele geçiriyor ve virüslü paket sürümlerini otomatik olarak yayınlıyor.
Saldırının Kapsamı ve Teknik Detaylar
Kaspersky’nin raporuna göre Shai-Hulud, toplamda 530 paket sürümünden 190 benzersiz paketi enfekte etti. Araştırmada, ilk enfekte paket olarak ngx-bootstrap 18.1.4 sürümü tespit edildi ve bu sürümün kurulum öncesi komut kullanmasıyla diğerlerinden ayrıldığı açıklandı. Bu tespit, saldırının başlangıç noktasını ortaya koyarak saldırı zincirinin anlaşılmasına yardımcı oldu.
Solucanın sadece kimlik bilgilerini çalmakla kalmayıp, GitHub’daki özel kurumsal depoları otomatik olarak kullanıcı hesaplarına taşıdığı ve bu süreçte gizli kod tabanlarını kamuya açtığı belirlendi. Kaspersky, söz konusu kötü amaçlı yazılımı HEUR:Worm.Script.Shulud.gen olarak tanımlıyor ve şirketlere depolarında “shai-hulud” dallarını veya shai-hulud-workflow.yml dosyalarını arayarak olası enfeksiyonları tespit etmelerini öneriyor.
Kurumsal Güvenlik Önerileri
Kaspersky, kurumların bağımlılıklarını düzenli olarak taraması, CI/CD ortamlarında güvenli Linux geliştirme süreçleri uygulaması ve gerçek zamanlı tehdit istihbarat akışlarını entegre etmesi gerektiğini vurguluyor. Ayrıca Kaspersky Next gibi kapsamlı kurumsal çözümler, bu tür saldırılara karşı görünürlük ve proaktif savunma sağlıyor.
npm ekosistemine yapılan bu saldırı, tedarik zinciri güvenliğinin artık yalnızca büyük ölçekli şirketler için değil, her seviyedeki geliştirici ve platform için kritik olduğunu bir kez daha gösteriyor. Shai-Hulud olayı, CI/CD süreçlerinde çok katmanlı güvenlik ve sürekli izleme ihtiyacını güçlendiriyor. Gelecekte bu tür tehditlere karşı erken uyarı sistemlerinin ve yapay zekâ destekli davranış analizi çözümlerinin yaygınlaşması bekleniyor.
