Güvenlik yazılımı şirketi Aikido Security'ye göre bir saldırgan, 10 Kasım 2026 Salı gününden başlayarak 4.837 GitHub hesabına ait çalınmış kimlik bilgileriyle bu hesapların yazma yetkisi olduğu depolara gizli anahtar çalan bir kod (secret stealer) yerleştirdi. Yazılım tedarik zinciri saldırısı niteliğindeki bu siber saldırı kapsamında zararlı kod en az 1.806 depoda çalıştı. Araştırmacılar, saldırganın bu depolarda erişilebilen bulut kimlik bilgileri ve sırları büyük olasılıkla topladığını belirtiyor. Hesaplara ait kimlik bilgilerinin nasıl ele geçirildiği ise açıklanmadı.
Her girişim, hesabın ilgili depoya yazıp yazamadığını sınamak için «wfx-docs» adlı daldan açılan «docs: dependency audit notes» başlıklı bir çekme isteğiyle (pull request) başladı. Toplam 61.764 depoda açılan bu sınama isteklerinin 10.431'i iş birlikçi ya da kuruluş erişimiyle, yani hesabın sahibi olmadığı depolara gönderildi.
Saldırı nasıl işledi
Yazılım tedarik zinciri güvenliği şirketi SafeDep'in ayrı analizine göre 10 Kasım 12:46 UTC ile 12 Kasım 04:36 UTC arasında 8.093 depoya zararlı commit gönderildi. Bu hesaplamada yalnız açık depoların varsayılan dalları sayıldığı için gerçek sayının daha yüksek olduğu belirtiliyor. Zararlı kod 7.309 depoda mevcut bir iş akışına (workflow) eklendi; 771 depoda ise npm postinstall kancası olarak geldi. Bu yöntem, kodun geliştiricinin kendi bilgisayarında «npm install» sırasında çalışması anlamına geliyor.
Aikido Security'ye göre saldırgan, kodu ekledikten sonra değişikliği genellikle kısa sürede geri aldı; kodun çalıştığı yerlerde kayıtlar ve çoğunlukla çalışmanın kendisi silindi. Şirket, bu depolarda iş akışlarının erişebildiği her sırrın ve bulut rolünün ele geçirilmiş sayılması gerektiğini belirtiyor.
SafeDep incelemesine göre çalınan veriler HTTP ile saldırgan sunucularına ya da bir Telegram sohbetine gönderiliyor; incelenen 200 örnekte yaklaşık beşte biri yalnız Telegram kullandı. Ekim ayındaki GhostAction olayında ele geçirilen hesaplarla 10 Kasım'da başlayan saldırıdaki hesaplar örtüşüyor; ancak Aikido Security bu aşamada iki olayı aynı saldırgana bağlamıyor.
Neler çalınmak istendi
Aikido Security analizine göre saldırıda hedeflenen veriler şunlar:
- GitHub Actions sırları ve değişkenleri, iş akışının GITHUB_TOKEN anahtarı ve OIDC jetonları
- Yapay zekâ hizmetlerine ait anahtarlar
- AWS, Azure, Google Cloud (GCP), Kubernetes, npm, PyPI ve SSH kimlik bilgisi dosyaları
- Depo içeriği, son 100 commit ve iş akışı çıktıları ile kendi sunucusunda çalışan (self-hosted) yürütücülerdeki bulut kimlik bilgileri
Zararlı kod kalıcı erişim kurma yetenekleri de taşıyor. Kod, GitHub OIDC jetonlarını AWS, Google Cloud (GCP) ve Azure oturumlarına çevirebiliyor; AWS üzerinde uzun ömürlü erişim anahtarı oluşturabiliyor ve bir rolün güven politikasını her AWS hesabına açacak şekilde değiştirebiliyor. Ayrıca Azure AD uygulamalarına «wfx-ci-» önekli federe kimlik bilgileri ekleyebiliyor. Bu sayede tüm jetonlar döndürülse bile saldırganın erişimi sürebiliyor.
Etkilenen paketler ve projeler
Zararlı kod en az bir Packagist paketine (kötü amaçlı olarak işaretlenen «digitalelvis/neuronai-studio» 3.14.3 sürümü) ve Go modüllerine («github.com/onuragtas/docker-env» v1.0.278 ve v1.0.280 sürümlerinde yalnız iş akışı dosyasında; «github.com/vkuznet/gocurl» modülünde bir sözde sürümde) ulaştı. Ele geçirilen hesaplardan en az 50'si npm, Go, Packagist, PyPI ya da crates için paket yayımlıyor. Araştırma şirketine göre saldırganın amacı paketlerle yayılmak değil, CI sırlarını toplamak.
WebdriverIO projesine ait 28 depoya da «wdio-bot» hesabı adına commit gönderildi. Projenin paket sürümü etkilenmedi, ancak bot hesabının jetonunun çalınmış sayılması gerektiği ifade ediliyor.
Depo sahiplerine yapılan öneriler
SafeDep ve Aikido Security, etkilenen depo sahiplerinin zararlı commit yazarının jetonlarını, OAuth uygulama izinlerini, SSH anahtarlarını ve oturumlarını iptal etmesini, iki aşamalı doğrulamayı açmasını ve deponun okuyabildiği tüm sır ile değişkenleri döndürmesini öneriyor. Etkilenen bir commit üzerinde «npm install» çalıştırılan makinenin de ele geçirilmiş sayılması gerektiği vurgulanıyor. Depolarda aranabilecek izler arasında «wfx-docs» dalı, «docs: dependency audit notes» başlıklı çekme isteği ile «ci: refresh build cache» ve «chore: add ci helper» commit mesajları bulunuyor.
Türkiye açısından
Saldırıdan Türkiye'de etkilenen depo ya da şirket sayısı açıklanmadı. GitHub, Türkiye'deki yazılım ekipleri ve açık kaynak geliştiricileri tarafından da yaygın biçimde kullanılıyor; CI/CD hatlarında saklanan bulut anahtarları ve yapay zekâ API anahtarları bu tür saldırıların doğrudan hedefini oluşturuyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12. maddesi uyarınca veri sorumluları, uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlü bulunuyor.
Kaynaklar
Kapak görseli: Rrustema / Wikimedia Commons, CC0 (GitHub Amsterdam ofisi, kırpıldı, 1200x675).
