Kuzey Kore ile bağlantılı tehdit aktörlerinin yürüttüğü Contagious Interview kampanyası, npm, Packagist, Go ve Google Chrome gibi platformlarda yayımlanan 108 benzersiz paket ve web tarayıcı uzantısıyla siber güvenlik alanında ciddi bir sorun teşkil etmektedir. PolinRider adı altında devam eden bu aktiviteler, yazılım geliştiricilerini hedef alarak zararlı paketlerin dağıtılmasına yol açmaktadır.

Saldırı Nasıl Çalışıyor?

Bu kampanya, kötü niyetli aktörlerin gerçekçi iş görüşmeleri ile yazılımcıları kandırdığı bir yöntemi kullanmaktadır. Aktörler, platformlarda (LinkedIn, GitHub vb.) kendilerini iş ilanı veren veya işbirliği talep eden kişiler olarak tanıtmakta; sahte şirketler ve yapay zeka tarafından oluşturulmuş çalışan profilleri oluşturarak güven inşa etmektedirler. Saldırı, aşağıdaki şekilde gerçekleşmektedir:

• Gerçekçi iş ilanları ile geliştiricileri kandırmak
• Kötü niyetli JavaScript yükleyicilerin, meşru GitHub havuzlarına gömülmesi
• VS Code görev dosyalarının kötü niyetli kodları çalıştırmak için kullanılması

Etkilenen Sistemler

PolinRider kampanyası şu anda 1,951 adet açık kaynak GitHub reposunu etkilemiş durumdadır. Bu aktiviteler, aşağıdaki sistemleri kapsamaktadır:

• 19 npm kütüphanesi
• 10 Composer paketi
• 61 Go modülü
• 1 Google Chrome uzantısı

Çözüm ve Korunma

Güvenlik araştırmaları bu tür etkinliklerin artmaya devam edeceğini gösteriyor. Kullanıcıların alması gereken önlemler şunlardır:

• Güncellemeleri kontrol edin: Tüm sistem bileşenlerinizi ve yazılımlarınızı güncel tutun.
• Etkin kaynakları inceleyin: Kullanılan paketlerin güvenilirliğini daima kontrol edin.
• Şifreleri değiştirin: Eğer şüpheli bir etkinlik fark ederseniz, açık kaynak projelerinizde kullandığınız şifreleri yenileyin.
• Gizli yolları kontrol edin: “.vscode/tasks.json”, “config.js”, “vite.config.js” gibi dosyalarda görünmeyen değişiklikleri tespit edin.

Sonuç olarak, kullandığınız yazılım ve paketlerin güvenliğinden emin olmalı; şüpheli durumları rapor etmeli ve gerekli güncellemeleri yapmalısınız. Unutmayın ki, güvenliği sağlamak için sürekli bir dikkat ve güncelleme şarttır.

Dünyanın iki büyük bellek çipi üreticisi, Güney Kore’nin güneybatısında dört yeni bellek fabrikası inşa etmek için toplam 518 milyar dolar (~800 trilyon won) yatırım yapmayı planlıyor. Bu bölge, tarihsel olarak yarı iletken yatırımlarından az faydalanmış bir yer.

Bu duyuru, yarı iletkenler, yapay zeka veri merkezleri ve fiziksel yapay zeka konularını kapsayan kapsamlı bir ulusal yatırım planının parçası. Plan, Samsung ve SK Hynix’in katılımıyla yapılan bir başkanlık brifinginde açıklandı. Yatırım planı üç ana kategoriye ayrılmış durumda. Bellek çipleri kategorisinde, güneybatıda dört yeni fabrika ile birlikte, orta bölgede 52 milyar dolarlık bir HBM (yüksek bant genişliği bellek) paketleme merkezi bulunuyor. Ayrıca, 2035 yılına kadar Koreli teknoloji ve enerji devleri SK, GS ve Naver tarafından inşa edilecek yapay zeka veri merkezleri için 356 milyar dolar (550 trilyon won) daha ayrılmış durumda.

Toplamda, Güney Koreli teknoloji şirketleri, yapay zeka ve buna bağlı çip talebi için 900 milyar dolardan fazla harcama yapmayı taahhüt etti. Bu adımlarla ülke, yapay zeka alanındaki etkinliğini artırmayı ve daha güçlü bir oyuncu haline gelmeyi umuyor. Mevcut durumda, Samsung ve SK Hynix (ABD’li bellek çipi üreticisi Micron ile birlikte) RAMageddon olarak adlandırılan, yapay zeka yatırımları nedeniyle dünya genelinde yaşanan bellek çipi kıtlığından dolayı rekor talep görüyor.

Güney Kore Cumhurbaşkanı Jae Myung Lee, “Yarı iletkenler, fiziksel yapay zeka ve yapay zeka veri merkezleri, Güney Kore’nin bir sonraki sanayi döneminin üç ana eksenidir” diyerek, 2026 yılının Güney Kore’nin “değiştirilemez” bir sanayi gücü olarak kendini tanıtması gereken yıl olduğunu belirtti.

Lee, Seul’un güneyinde, Güney Kore’nin yarı iletken kuşağının kalbinde bulunan Yongin ve Pyeongtaek’teki mevcut çip tesislerinin “zaten limitlerine ulaştığını” ve şirketlerin yatırımlarını hızlandırmasını istedi. “Önceden ezici üretim kapasitesine sahip olmamız gerekiyor” dedi.

Medya raporlarına rağmen, Lee, hükümetin şirketleri yatırımlara zorladığına dair söylentilere karşı çıktı ve bu kararların şirketlerin kendi değerlendirmelerini yansıttığını belirtti. “Hükümetin rolü, şirketlerin kayıplar yaşamadan ve daha iyi beklentilerle yatırım yapabilmesi için kendi olanaklarını kullanmak,” diye ekledi.

Samsung, önümüzdeki on yıl içinde 2,655 trilyon won (~1,7 trilyon dolar) yatırım yapmayı planladığını duyurdu ve bunun 425 trilyon won’unu Kore yarımadasının güneybatı köşesindeki Honam bölgesine ayırdı. Şirket, Gwangju’yu yeni bir yarı iletken fabrikası ve Haenam’da bir yapay zeka veri merkezi için seçerken, güç, su, iş gücü ve yaşam koşulları gibi beklenen teşviklerin ana faktörler olduğunu belirtti.

Bu yatırım tutarı, yalnızca bu yıl yapay zeka altyapısına toplamda 650 milyar dolar harcaması beklenen ABD teknoloji devleri Alphabet, Amazon, Meta ve Microsoft ile karşılaştırıldığında abartılı bir rakam değil.

Bu arada, SK Grubu, yarı iletken üretim kapasitesini artırmak için 1,100 trilyon won ve ülke genelinde yapay zeka veri merkezleri için 1,000 trilyon won’luk orta ve uzun vadeli bir yatırım planı duyurdu. SK Hynix, grubun temel yarı iletken iştiraki olarak çip genişletme hamlesinin merkezinde yer alırken, SK Telecom, ülke genelinde 15 gigavatlık yapay zeka veri merkezi kapasitesinin inşasını yönetecek.

Ancak bu iddiaların gerçeğe dönüşüp dönüşmeyeceği ayrı bir konu. Yarı iletkenler ve yapay zeka gibi derin teknoloji alanları, siyasi veya müşteri talep zamanlamalarına göre hareket etmez. Fabrikaların inşası yıllar alır ve bu süreçte, talepler azaldığında şirketlerin ellerinde fazlalık kalabilir, bu da fiyatları düşürebilir. Bu nedenle, yapay zeka çip tedarik zinciri, Güney Kore’nin bu hedefi gerçekleştirebilir mi merakla takip ediyor.

Makalelerimizdeki bağlantılar üzerinden alışveriş yaptığınızda, küçük bir komisyon kazanabiliyoruz. Bu durum, editoryal bağımsızlığımızı etkilemez.

Kuzey Koreli Sapphire Sleet (BlueNoroff) hacker grubunun, 140’tan fazla npm paketi üzerinde kontrol sağlayarak gerçekleştirdiği Mastra AI tedarik zinciri saldırısı, yazılım geliştirme dünyasında büyük bir tehdit oluşturmuştur. Microsoft’un bu durumu gündeme getirmesiyle birlikte, geliştiricilerin güvenliğini sağlamak için acil önlemler alınması gerekliliği bir kez daha ortaya çıkmıştır.

Saldırı Nasıl Çalışıyor?

Saldırı, tehdit aktörlerinin “ehindero” isimli npm yönetici hesabını ele geçirmesiyle başladı. Bu hesap, Mastra paket ortamında yayınlama ayrıcalıklarına sahipti.

• Attackers used the compromised account to publish malicious updates for over 140 packages in the @mastra scope.
• The malicious update injected a trojan dependency named “easy-day-js”, which is a typosquat of the legitimate dayjs JavaScript library.
• When users installed compromised packages, the malicious dependency executed a post-install hook, deploying a malware dropper aimed at stealing sensitive information.

Microsoft’un açıklamasına göre, easy-day-js kurulduğunda bir obfuscation (kafa karıştırma) yöntemiyle çalışan bir dropper scriptini yürüttü ve bunun sonucunda çeşitli kimlik bilgileri ve API anahtarları gibi hassas verileri çalmaya yönelik bir saldırı gerçekleştirdi.

Etkilenen Sistemler

Saldırının ikinci aşaması, çok platformlu bir bilgi hırsızını içeren kötü amaçlı yazılımın indirilmesiyle gerçekleşti. Bu yazılım, Windows, Linux ve macOS sistemlerini hedef alıyordu.

• Bilgileri topladı: Ana makine verileri, tarayıcı geçmişleri ve yüklenmiş uygulamalar
• Grafik araştırması: 166 farklı kripto para cüzdanı uzantısının kurulu olup olmadığını kontrol etti; bu uzantılar arasında MetaMask, Phantom, Coinbase Wallet, Binance Wallet ve TronLink yer almaktadır.
• Farklı kalıcılık yöntemleri kullandı: Windows Kayıt Defteri çalıştırma anahtarları, macOS LaunchAgents ve Linux systemd servisleri aracılığıyla.

Çözüm ve Korunma

Microsoft’un yaptığı açıklamalara göre, saldırganların komut ve kontrol (C2) sunucularıyla iletişim kuran sistemlerde Sapphire Sleet grubuna ait taktiklerin kullanıldığı tespit edilmiştir.

• Öncelikle, PowerShell backdoor ve diğer kalıcılık mekanizmalarının kullanıldığı görülmüştür.
• Microsoft Defender istisnalarının oluşturulması ve kötü amaçlı Windows servisleri ile SYSTEM yetkilerinin sağlandığı rapor edilmiştir.

Sapphire Sleet’in daha önce Axios HTTP client üzerinde gerçekleştirdiği tedarik zinciri saldırısı ile de ilişkilendirilmektedir.

Sonuç ve Öneriler

Geliştiricilerin ve sistem yöneticilerinin, üretim ortamlarındaki npm paketlerini ve bağımlılıklarını düzenli olarak gözden geçirmesi, güncellemeleri takip etmesi ve gerekirse güncellemeleri hemen yapması gerekmektedir.

• Güncellemelerinizi kontrol edin ve 140’tan fazla etkilenen paketi güncellediğinizden emin olun.
• Güvenlik yazılımlarınızı ve sistemlerinizi kontrol edin, bu tür kötü amaçlı yazılımların izlerini takip edin.
• Portlarınızı gerektiğinde kapatın ve herhangi bir şüpheli aktiviteyi izleyin.

Güvenli bir yazılım geliştirme süreci için bu önlemleri almak, siber güvenlik risklerini minimize edecektir. Unutmayın, güncel kalmak her zaman en iyi koruma yöntemidir.

Kuzey Kore menşeli siber tehdit grupları, son zamanlarda geliştirici topluluklarına yönelik geniş kapsamlı phishing saldırıları düzenlemektedir. Bu tür saldırıların, veri hırsızlığı ve finansal kazanç sağlama amacı taşıdığı gözlemlenmektedir.

Saldırı Nasıl Çalışıyor?

Yeni keşfedilen UNK_DeadDrop kodlu kampanya, Kuzey Kore’nin “Contagious Interview” adıyla bilinen tehdit kümesiyle ilişkili olarak açıklandı. Araştırmalara göre, gelişimci rolü sunarak phishing e-postaları gönderen saldırganlar, hedeflerine Microsoft Visual Studio Code (VS Code) projelerini kötü amaçlı yazılımlar yüklemek için kullanmaktadır. Bu, kullanıcının etkileşimini gerektirmeden her açılışta otomatik olarak zararlı kodların çalıştırılmasına neden olmaktadır.

Etkilenen Sistemler

Aşağıdaki sistemler hedef alınmıştır:

• macOS
• Linux
• Windows

Saldırı, GitHub üzerindeki kötü niyetli depo bağlantıları aracılığıyla gerçekleştirilmektedir. Ayrıca, Overlord adlı bir açık kaynak çerçeve kullanılarak, işletim sistemine özgü zararlı yazılımlar yüklenmektedir.

Çözüm ve Korunma

Saldırının önüne geçmek için aşağıdaki önlemler alınmalıdır:

• Tüm yazılımlarınızı ve işletim sisteminizi güncel tutun.
• Kimlik avı e-postalarına karşı dikkatli olun ve tanımadığınız kaynaklardan gelen bağlantılara tıklamayın.
• VS Code gibi geliştirme ortamlarınızı güvenli yapılandırmalarla kullanın, özellikle eklentileri dikkatle kontrol edin.

Ayrıca, ağ güvenlik duvarlarını güncellemek ve gereksiz portları kapatmak da önemlidir.

Sonuç

Geliştirici toplulukları için büyük bir tehdit oluşturan bu kampanyalara karşı dikkatli olunması gerekmektedir. Derhal yazılımlarınızı güncelleyerek, port kapatarak ve bilinçli davranarak bu tür saldırılara maruz kalma riskinizi azaltabilirsiniz.