Giriş

GitHub, yazılım tedarik zincirinin güvenliğini artırmak amacıyla npm için yeni kontrol mekanizmaları geliştirdi. Bu değişiklik, paket sorumlularının, paketlerin halka açık olarak kurulum için erişilebilir hale gelmeden önce onaylamasına olanak tanıyor.

Saldırı Nasıl Çalışıyor?

GitHub, bu yeniliği “staged publishing” olarak adlandırıyor. Bu özellik, bir paket yayınlanmadan önce, insan bazlı bir sorumlu tarafından iki faktörlü kimlik doğrulama (2FA) sürecinin geçilmesini gerektiriyor. Yani, doğrudan bir yayınlama yerine, önceden hazırlanmış bir tarball, bir bekleme kuyruğuna yükleniyor ve buradan sorumlu kişi onay verdikten sonra kurulabilir hale geliyor. GitHub, bu değişimin “yayın sırasında varlık kanıtı” sağladığını vurguluyor, bu durum sürekli entegre ve sürekli dağıtım (CI/CD) süreçlerinden gelen paketler için de geçerli.

Etkilenen Sistemler

Paket sorumlularının “staged publishing” özelliğini kullanabilmesi için aşağıdaki koşulları sağlaması gerekiyor:

• Yayın erişimine sahip olmalıdır.
• Paketin npm kayıt defterinde önceden mevcut olması gerekmektedir; yani tamamen yeni bir paket bu özellik ile sahnelenemez.
• Hesapta 2FA etkinleştirilmiş olmalıdır.

Geliştiriciler, paketin kök dizininden “npm stage publish” komutunu kullanarak, paketi bir bekleme alanına gönderebilir. Bu komutu kullanmak için, npm CLI’nin 11.15.0 veya daha yeni bir versiyonuna güncellenmesi şarttır. GitHub, optimal koruma için bu özelliğin OIDC kimlik doğrulaması ile birlikte kullanılmasını önermektedir.

Yeni Yükleme Seçenekleri

npm ile ilgili ikinci güncelleme, mevcut -allow-git bayrağına ek olarak üç yeni yükleme kaynak bayrağının tanıtılmasıdır:

• –allow-file: Yerel dosya yolları ve yerel tarball’lar üzerinden yüklemeleri kontrol eder.
• –allow-remote: Uzak URL’ler, HTTPS tarball’ları dahil olmak üzere yüklemeleri kontrol eder.
• –allow-directory: Yerel dizinler üzerinden yüklemeleri kontrol eder.

Bu bayraklar, her bir kayıt dışı yükleme kaynağına aynı açık izin yaklaşımını uygulamak için geliştiricilere olanak tanıyor.

Çözüm ve Korunma

Yazılım tedarik zinciri saldırılarında son zamanlarda önemli bir artış gözlemlenmiştir. Özellikle, TeamPCP olarak bilinen bir siber suç grubu popüler paketleri hedef alarak, büyük çapta zehirleme faaliyetlerine kalkışmıştır. Geliştiricilerin bu tür tehditlere karşı korunmak için atması gereken adımlar şunlardır:

• Paketlerinizi güncelleyin ve “staged publishing” özelliğini entegre edin.
• Hesap güvenliğinizi artırmak için 2FA kullanın.
• Paketi sunmadan önce güvenilir yayıncı ayarlarını gözden geçirin.
• Güvenli yükleme için yeni yükleme kaynak bayraklarını kullanın.

Sonuç

Geliştiricilerin yazılım tedarik zinciri güvenliğini artırmaları için mevcut sistemlerini bu yeni özelliklerle entegre etmeleri kritik bir önem taşımaktadır. Güncellemeleri uygulamak ve gerekli güvenlik önlemlerini almak, olası saldırılara karşı en etkili koruma yöntemidir.

Giriş

Google, bilinmeyen bir tehdit aktörünün yapay zeka (AI) kullanarak geliştirdiği bir sıfır gün açığının, siber suçlular tarafından “toplu zayıflık istismar operasyonu” kapsamında kullanıldığını açıkladı. Bu olay, AI teknolojisinin kötü niyetli bir bağlamda ilk kez devreye alındığını göstermesi açısından büyük önem taşıyor.

Saldırı Nasıl Çalışıyor?

Analizlere göre, bu kampanya kapsamında kullanılan sıfır gün açığı, Python tabanlı bir script içermekte ve popüler bir açık kaynak web tabanlı sistem yönetim aracı üzerindeki iki faktörlü kimlik doğrulaması (2FA) bypass işlemini sağlamaktadır. Google Tehdit İstihbarat Grubu (GTIG) tarafından yapılan açıklamada, bu zafiyetin geçerli kullanıcı kimlik bilgileri gerektirdiği ve yüksek düzeyde bir mantık hatasından kaynaklandığı belirtilmiştir.

Bu tür bir zafiyetin, AI tarafından otomatik olarak tespit edildiği düşünülmektedir. Python scripti, “CVSS skoru” gibi eğitim amaçlı dokümanlar içermekte ve açık kaynak yazılımlarının tipik karakteristiklerini barındırmaktadır.

Etkilenen Sistemler

Güvenlik açığının kullanıcılar üzerinde etkili olabilmesi için geçerli kimlik bilgileri gerekmektedir. Bu açıdan, aşağıdaki sistemler risk altındadır:

• Kullanıcıların geçerli kimlik bilgileri ile sisteme erişim sağlaması durumunda saldırıya uğrama riski.
• Yalnızca bu sistem üzerindeki 2FA uygulamalarının değil, genel güvenliğin de tehdit altında olduğunu gösteriyor.

Çözüm ve Korunma

Google, etkilenmiş olan tedarikçi ile işbirliği yaparak bu açığı sorumlu bir şekilde duyurdu ve kapatılması için gerekli önlemleri aldı. Ancak, tedarikçi adı açıklanmamıştır. Aşağıdaki önlemler, benzer tehditlere karşı korunma noktasında kritik öneme sahiptir:

• Güvenlik güncellemelerini düzenli olarak takip edin ve uygulayın.
• Geçerli kullanıcı kimlik bilgilerinizi koruyun ve güçlü şifreler kullanın.
• Güvenlik duvarlarınızı güncel tutun ve izinsiz giriş deneyimlerini gözlemleyin.

Ayrıca, genel kullanıma açık platformlarda, özellikle Python ve AI ile ilişkili araçların kullanımında dikkatli olunmalıdır.

Sonuç

Kullanıcıların, bu tür olayların tekrar yaşanmaması için yazılımlarını ve sistemlerini güncellemeleri, gerektiğinde kötü niyetli yazılımlara karşı bilgilendirilmesi önemlidir. Gerekli önlemleri alarak kendi siber güvenliklerini güçlendirmeleri hayati önem taşımaktadır.

Call of Duty: Black Ops 7 ve Warzone’ın üçüncü sezonu, tüm modlarda yeni içerikler sunarak oyuncuları heyecanlandırıyor. Bu büyük güncelleme, hile önlemleri konusunda da önemli iyileştirmeler içeriyor.

Hile Önleyici Sistemlerdeki Gelişmeler

Aktivision, Ricochet hile önleyici sistemini daha da geliştirdi. Bu sistem, onaylanmamış üçüncü parti donanımlara, örneğin Cronus Zen ve XIM Matrix cihazlarına odaklanıyor. Bu tür cihazlar, oyuncu girdilerini değiştirme potansiyeline sahip ve hile avantajı sağlıyor.

• Gelişmiş tespit sistemleri, oyun sırasında girişlerin nasıl davrandığına odaklanıyor.
• Beklenen insan oyun davranışlarının dışındaki kalıpları tanımlamak için tasarlandı.

Güvenlik Önlemleri

Yeni Activision hesapları için Microsoft’un iki aşamalı kimlik doğrulama gereksinimi getirildi. Bu yapılanma, oyuncunun kimliğini doğrulamak için ek bir adım ekliyor ve şüpheli aktivitelerin tespit edilmesi durumunda devreye giriyor.

• Hile kullananların yeni hesap oluşturmasını zorlaştırmayı hedefliyor.
• Hesap dolandırıcılığını azaltmayı amaçlıyor.

Sistem Gereksinimleri

Üçüncü sezonda, Call of Duty’nin TPM 2.0 ve Secure Boot gereksinimlerini karşılamayan PC oyuncularına güncellenmiş uyarılar gönderilecek. Bu gereksinimleri karşılamayan oyuncularının oyun modlarına erişim kısıtlanabilir.

Yeni İçerikler ve Olaylar

Sezon 3, tamamen yeni bir battle pass ile birlikte geliyor. Bu battle pass, 100’den fazla yeni kozmetik ve öğe sunuyor:

• Yeni Javelin operatörü
• İki yeni silah
• Ekstra silah planları
• CoD Puanları ve daha fazlası

Yeni sezon, yeni haritalar ve olaylarla dolu bir deneyim sunuyor. Call of Duty hayranları için bu yenilikler oldukça heyecan verici görünüyor. Sizin favori oyun modunuz hangisi?

Tycoon 2FA, siber suçluların geniş çapta adversary-in-the-middle (AitM) kimlik avı saldırıları gerçekleştirmesine olanak tanıyan, öne çıkan bir phishing-as-a-service (PhaaS) aracıdır. Avrupa Polis Teşkilatı (Europol) tarafından yapılan bir operasyonla bu tehdit ortamı ortadan kaldırıldı.

Saldırı Nasıl Çalışıyor?

Tycoon 2FA ilk olarak Ağustos 2023’te ortaya çıkmış ve Europol tarafından dünyadaki en büyük kimlik avı operasyonlarından biri olarak tanımlanmıştır. Bu hizmet, 10 gün boyunca 120 ABD doları veya bir aylık web tabanlı yönetim paneli erişimi için 350 ABD doları karşılığında sunulmuştur. Yönetim paneli, kampanyaları yapılandırmak, izlemek ve geliştirmek için bir merkez işlevi görmektedir. Aşağıdaki özellikleri içermektedir:

• Önceden hazırlanmış şablonlar
• Yaygın tuzak formatları için ek dosyalar
• Alan adı ve barındırma yapılandırması
• Yeniden yönlendirme mantığı
• Kurban takibi

Bu panel üzerinden saldırganlar, ele geçirilen bilgileri (kimlik bilgileri, çok faktörlü kimlik doğrulama (MFA) kodları ve oturum çerezleri) indirip Telegram üzerinden anlık bildirim alabiliyorlardı.

Etkilenen Sistemler

Tycoon 2FA platformu, dünya genelinde yaklaşık 100,000 kuruluşa yetkisiz erişim sağladı. Bunun sonucunda her ay on milyonlarca kimlik avı e-postası gönderildi. Ele geçirilen hizmetlerin arasında eğitim, sağlık, finans, kar amacı gütmeyen kuruluşlar ve devlet daireleri de bulunmaktadır. 330 alan adı, suçluların bu hizmetlerini yürütmeleri için temel bileşenler olarak kullanıldığından, yapılan koordine operasyonla kapatıldı.

Çözüm ve Korunma

Yapılan araştırmalar, Tycoon 2FA ile ifade edilen kimlik avı tehditlerinin en yüksek hacime sahip olduğunu ortaya koymaktadır. Microsoft’un izlediği hizmet, Storm-1747 adı altında takibe alınmış ve 2025’te 13 milyondan fazla kötü amaçlı e-posta engellenmiştir. Kuruluşlar, bu tür tehditlerle karşılaşmamak için şu adımları atmalıdır:

• Yazılımlarınızı güncelleyin ve güvenlik yamalarını uygulayın.
• Port kapatma işlemini gerçekleştirin; gereksiz olanları devre dışı bırakın.
• Çok faktörlü kimlik doğrulama uygulamalarını etkinleştirin ve düzenli olarak değiştirin.
• Şifrelerinizi güçlü ve benzersiz tutun; şifre yöneticilerini kullanabilirsiniz.

Siber saldırganların kimlik bilgilerine erişimi, ciddi sonuçlara yol açabilir. Özellikle kimlik avı saldırılarının artması, kurumsal e-posta hesaplarına sızma girişimlerinin ilk adımı olması bakımından kritik öneme sahiptir. Bu nedenle gerekli önlemleri alarak kendinizi ve kurumunuzu korumanız gerekmektedir.