Hackerlar, tespit ve kaldırma zorluğunu artıran npm paketleri içinde kötü amaçlı kod gizlemek için Ethereum akıllı sözleşmelerini kullanıyor.

Yönetici Özeti

Saldırganlar, tespit ve kaldırma karmaşıklığını artıran bir taktik olan npm paketleri içinde kötü amaçlı kodu gizlemek için Ethereum akıllı sözleşmelerini kullanıyor. ReversingLabs tarafından Temmuz 2025'te ortaya çıkarılan bu kampanya, kripto ve fintech sektörlerini hedef alan yazılım tedarik zinciri saldırılarının artan karmaşıklığını vurgulamaktadır.

Olay Detayları

Temmuz 2025'te ReversingLabs araştırmacıları, npm paket deposunda colortoolsv2 ve mimelib2 adlı iki kötü amaçlı paket keşfetti. Bu paketler, tehlikeye atılmış sistemlere indirme kötü amaçlı yazılımı yükleyen kötü amaçlı komutları gizlemek için Ethereum akıllı sözleşmelerini kullandı. Kötü amaçlı yazılım, şüpheli URL'leri doğrudan yerleştirmek yerine, komut ve kontrol (C2) sunucusu adreslerini elde etmek için Ethereum akıllı sözleşmelerini sorguladı; bu tekniğe "EtherHiding" denir. Örneğin, colortoolsv2 paketi, index.js komut dosyasında kötü amaçlı komutları getiren ve yürüten karmaşık, kötü amaçlı bir yük içeriyordu. Paketler npm bakımcılarına bildirildi ve daha sonra kaldırıldı.

Piyasa Etkileri

Bu yeni saldırı vektörü, açık kaynak depolarının güvenliği ve yaygın bir şekilde tehlikeye girme potansiyeli hakkında endişelere yol açmaktadır. ReversingLabs araştırmacısı Lucija Valentić'in belirttiği gibi, >“Yeni ve farklı olan şey, kötü amaçlı komutların bulunduğu URL'leri barındırmak ve ikinci aşama kötü amaçlı yazılımı indirmek için Ethereum akıllı sözleşmelerinin kullanılmasıdır. Daha önce bunu görmedik ve bu, açık kaynak depolarını ve geliştiricileri hedef alan kötü amaçlı aktörlerin kaçınma stratejilerinin hızlı evrimini göstermektedir.”

Bu olay, npm paketleri ve akıllı sözleşme güvenliğinin daha fazla incelenmesine yol açabilir ve potansiyel olarak yeni güvenlik protokollerinin ve denetim uygulamalarının benimsenmesini teşvik edebilir.

Daha Geniş Bağlam

Bu saldırı, tehdit aktörlerinin GitHub'da kripto para ticaret botları olarak gizlenmiş sahte depolar oluşturduğu daha geniş bir kampanyanın parçasıdır. solana-trading-bot-v2 gibi bu depolar, geliştiricileri aldatmak için binlerce sahte taahhüt ve şişirilmiş yıldız derecelendirmesi içeriyordu. Siber güvenlik firması Kaspersky de GitHub'da benzer kampanyalar hakkında uyarıda bulundu; hackerlar, kripto para birimi ve oturum açma kimlik bilgilerini çalmak için tasarlanmış uzaktan erişim truva atları (RAT'lar) ve bilgi hırsızları içeren sahte projeler oluşturuyor. 2024'te Web3 güvenlik olayları, 2,3 milyar doların üzerinde kripto para kaybına neden olarak, bu tür saldırılar için artan finansal teşviki vurgulamaktadır. Bu olay, yalnızca reaktif denetimlere güvenmek yerine, tüm geliştirme yaşam döngüsü boyunca sürekli güvenlik doğrulaması ve proaktif güvenlik önlemlerinin gerekliliğini vurgulamaktadır.