npm ekosisteminde güvenlik açıkları ve kötü amaçlı paketler gündemde. GitHub'ın yayın kontrollerini sıkılaştırmasına rağmen ele geçirme girişimleri, gizli kod enjeksiyonları ve Kuzey Kore bağlantılı saldırılar artarak devam ediyor.
GitHub, npm'de güvenilir yayın yapılandırmalarının 48 saat içinde ilk başarılı yayını yapılmazsa geçersiz hale gelmesini sağladı. Bloom Security'nin bulduğu açık, depo adının çalınmasıyla binlerce paketin ele geçirilmesine izin veriyordu. Şirket ayrıca GitHub Actions issue_comment olaylarından gelen tokenleri reddediyor.
indexed-btree adlı zararlı npm paketi, yaşam döngüsü betikleri yerine çalışma zamanı koduna gizlenmiş yükleyiciyle tespit edildi. Paket milyonlarca indirme topladıktan sonra kaldırıldı ve tehdit aktörünün kripto para kazancı elde ettiği belirlendi. Aynı dönemde PolinRider kampanyasının Packagist'te yeniden aktif olduğu da açıklandı.
Siber güvenlik araştırmacıları, komuta ve kontrol (C2) sunucu IP adresini boş bir Ethereum transferinin sahte hedef adresine gizleyen yeni bir blockchain tabanlı teknik tespit etti. 'NullReceiver' adı verilen bu yöntem, iki trojanize npm paketinde bulundu ve Kuzey Koreli aktörlerle ilişkilendiriliyor.
Siber güvenlik araştırmacıları, Alibaba geliştirici araçlarını kullananları hedef alan ve platformlar arası çalışan bir uzaktan erişim truva atı (RAT) dağıtan 18 yeni kötü amaçlı npm paketi keşfetti. Saldırı, Çince konuşulan ortamları hedef alan karmaşık bir yazılım tedarik zinciri saldırısının parçası olarak gerçekleşiyor.
Amazon, Eylül 2025'te popüler npm paketleri debug ve chalk'ın ele geçirilmesi olayını Kuzey Kore'ye bağladı. Şirket, saldırının arkasında daha önce axios paketini de hedef alan bir Kuzey Koreli hacker grubunun olduğunu orta düzeyde güvenle değerlendiriyor. Olayla ilgili yayınlanan kanıtlar ise oldukça sınırlı kaldı.
@joyfill ad alanındaki iki npm paketinin beta sürümleri, DEV#POPPER kötü amaçlı yazılım ailesiyle bağlantılı bir uzaktan erişim truva atı (RAT) dağıtmak için ele geçirildi. Paketler, Node.js tarafından yüklendiğinde çalışan ve Tron, Aptos ile BNB Smart Chain işlemleri üzerinden şifrelenmiş kod çözümlemesi yapan bir JavaScript implantı içeriyor.
Siber güvenlik araştırmacıları, Vite ön uç geliştirme aracını hedef alan yedi kötü amaçlı npm paketi keşfetti. ViteVenom adı verilen kampanya, dört katmanlı blockchain tabanlı komuta ve kontrol altyapısı kullanarak uzaktan erişim truva atı (RAT) dağıtıyor.
OX Security, SafeDep, Socket ve StepSecurity güvenlik şirketlerinin ortak araştırmasına göre, @asyncapi ad alanındaki dört npm paketi tehlikeye atıldı ve bu paketler üzerinden çok aşamalı bir botnet yükleyicisi dağıtıldığı tespit edildi. Saldırganların, geçerli kaynak doğrulamalarına rağmen GitHub Actions'ı kötüye kullanarak paketlere gizli JavaScript implantları yerleştirdiği belirtiliyor.
jscrambler npm paketinin 8.14.0 sürümü ele geçirildi. Paketi kuran geliştiriciler, farkında olmadan sistemlerine bir bilgi hırsızı (infostealer) yüklüyor. Saldırı Windows, macOS ve Linux platformlarını hedef alıyor ve bulut kimlik bilgilerinden kripto cüzdanlara kadar geniş bir yelpazedeki verileri çalıyor.
JFrog güvenlik araştırmacıları, PostCSS aracı görünümüne bürünen zararlı npm paketleri tespit etti. Bu paketler Windows sistemlere uzaktan erişim truva atı (RAT) yerleştiriyor; Chrome şifrelerini çalıyor, komut çalıştırıyor ve dosya transferi gerçekleştiriyor.