--- title: "GhostAction dalgası etkisiz kaldı, saldırganlar GitHub'da aktifliğini sürdürüyor" url: "https://teknotayf.com/haber/ghostaction-dalgasi-etkisiz-kaldi-saldirganlar-github-da-aktifligini-surduruyor" markdown_url: "https://teknotayf.com/haber/ghostaction-dalgasi-etkisiz-kaldi-saldirganlar-github-da-aktifligini-surduruyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-28 22:39:00" updated: "2026-10-28 23:12:00" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Tedarik Zinciri Saldırısı","GitHub","Tehdit Aktörü","GhostAction"] source: "Dark Reading" --- # GhostAction dalgası etkisiz kaldı, saldırganlar GitHub'da aktifliğini sürdürüyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/ghostaction-dalgasi-etkisiz-kaldi-saldirganlar-github-da-aktifligini-surduruyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** GitHub hesaplarını ele geçirerek Actions iş akışı dosyaları enjekte eden GhostAction kampanyasının yeni dalgası büyük ölçüde etkisiz kaldı. GitGuardian araştırması, saldırganların 23 bin açık depoya 72 bin taahhüt gönderdiğini ve 1.800'den fazla hesabı ele geçirdiğini ortaya koydu. Uzmanlar, tehdit aktörünün bulut erişimine yönelen yükler denediğini ve aynı çalıntı belirteçlerin hâlâ çalışır durumda olduğunu belirtiyor. - **Yayın tarihi:** 2026-10-28 22:39 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Tedarik Zinciri Saldırısı, GitHub, Tehdit Aktörü, GhostAction - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/application-security/ghostaction-hacking-wave-fizzles-attackers-github) ![GhostAction dalgası etkisiz kaldı, saldırganlar GitHub'da aktifliğini sürdürüyor](https://teknotayf.com/assets/uploads/2026/10/6899ba067f3533179cdce5da3e6cb84d.jpg) Kimlik ve Erişim Yönetimi Güvenliği Tedarik zinciri saldırısı kampanyasının geliştirici uç noktaları ve bulut erişimine kayması, siber suç grubunun bir sonraki hamlesine işaret ediyor. Alexander Culafi, Senior News Writer, Dark Reading GhostAction saldırılarının yeni bir dalgası büyük ölçüde başarısız oldu, ancak bu tedarik zinciri kampanyası operatörü ileride daha fazla kaos yaratmak için iyi konumda. **GhostAction**, saldırganların GitHub'ı hedef aldığı, geliştirici hesaplarını ele geçirip depolara GitHub Actions iş akışı dosyaları enjekte ettiği devam eden bir kampanya. İş akışları, GitHub Actions'ın bir taahhüt gönderildiğinde veya bir çekme isteği açıldığında ne kodun çalıştırılacağını söylemesini sağlar; bu kötü amaçlı iş akışları bu dosyaların GitHub tarafından tasarlandığı şekilde yüksek güvene dayanır, depo sırlarını, paket yayınlama belirteçlerini, GitHub kişisel erişim belirteçlerini, kaynak koduna gömülü kimlik bilgilerini ve çok daha fazlasını ele geçirir. Fikir, ilk ihlalin depolar, CI/CD sistemleri ve bulut ortamları arasında daha fazla ihlal ve erişim noktasına dönüştürülmesidir; bu, son zamanlarda vahşi doğada gözlemlenen birçok tedarik zinciri solucanına benzer, ancak farklı şekilde çalışır. Kampanya geçen yıl ilk kez belgelendi ve saldırganlar GhostAction'ı kuruluşlara karşı kullanmaya devam ediyor. Bu ay başından itibaren tekniğin görünür bir şekilde tırmanması değişen şey oldu. Daha önceki 8-12 Ekim dalgasında saldırganlar, kimlik bilgisi çalan kodu ölçekte dağıtmak için ele geçirilen hesapları kullanarak yaklaşık 30.000 depoya security-audit.yml iş akışını itti. Ancak GitGuardian 27 Ekim'de yayımlanan araştırmasında daha fazla tırmanmayı vurguladı. GitGuardian'dan Gaetan Ferry, 13-21 Ekim arasında GhostAction operatörünün "23.000 açık depoya 72.000 taahhüt gönderdiğini" yazdı ve bunların 8.000'inin yeni hedef olduğunu belirtti. ## Çeşitli Yükler Ele Geçirilmiş Geliştiricileri Hedefliyor Kampanyanın bu son dalgasında GitGuardian, bir geliştirici hesabı ele geçirildikten sonra operatörün depoların barındığı çalıştırıcıya göre farklı yükler dağıttığını gözlemledi. Çalıştırıcılar GitHub Actions iş akışlarını çalıştıran sistemlerdir. Birçok kuruluş GitHub barındırılan çalıştırıcıları kullanırken, diğerleri kendi ortamlarında çalışan kendi barındırılan çalıştırıcılar yapılandırır. Bu yükler arasında GitHub çalıştırıcı depoları ve vikilerinde yapay zeka sağlayıcı API anahtarları dahil kimlik bilgileri arayan "seven workflows" adlı bir yük; daha önce GhostAction saldırılarında görülen ve GitHub barındırılan kaynak kodunda ve Git geçmişinde kimlik bilgileri arayan Security-audit.yml dosyası; kendi barındırılan CI çalıştırıcılarını hedefleyen kendi barındırılan çalıştırıcı yükleri; GitHub çalıştırıcılarını ve AWS isteyen GitHub OIDC belirteçlerini hedefleyen, AWS rollerini üstlenmek ve bulut hesabı erişimi elde etmek için bir yük; ve kökeni nedeniyle son saldırılarda görülen en dikkat çekici iş akışı yükü olan font stealer yükü yer alıyor. Font stealer ailesi, yerel geliştirici makinelerine VS Code görevi olarak gizlenmiş bir Node.js kimlik bilgisi hırsızı kurar. Teknik, geliştirici depolarında gizlenmiş bulanık yükleyicilerle kimlik bilgileri çalan ve Kuzey Kore ile ilişkilendirilen bir kampanya olan PolinRider'dan kopyalanmış görünüyor. Saldırgan ayrıca 22-26 Ekim arasında GhostAction'dan etkilenen depolara PolinRider yükleyicileri ekledi. Ferry, beş yükten yalnızca PolinRider tarzı yerel hırsızın başarılı bir şekilde çalışabilme şansı olduğunu söylüyor, ancak GitGuardian'ın herhangi birinin gerçekten çalıştığına dair kanıtı yok. GitGuardian, GhostAction ile PolinRider arasında örtüşme olup olmadığını değerlendiremedi, ancak GhostAction operatörünün muhtemelen örtüşen bir mağdur kümesini hedeflemek için kamuya açık bir PolinRider başlatıcısını kopyalamış olabileceğini öne sürdü. Bu ay GhostAction saldırılarını ele alan ve birkaç hafta önce PolinRider kopyacısının işaretlerini tespit eden OpenSourceMalware'in kurucu ortağı Jenn Gile, Dark Reading'e PolinRider klonunun GhostAction grubunun iç işleyişlerinden bazılarını gösterdiğini söylüyor. "Gördüklerimiz taklit gibi görünüyor, evrim değil. GhostAction'daki sahte-font tekniği, DPRK'nın PolinRider kampanyasının 2026'nın tümünde kullandığı bir kopya," diye yazdı e-postada. "Birden fazla yük gerçek, ancak bunlar bir temanın varyasyonları, yeni bir yetenek değil. Tarihsel olarak bunu gerçek beceri gerektirdiği için evrim olarak adlandırabilirdik. Ancak bu, tehdit aktörünün farklı varyantları test etmesine yardımcı olan bir LLM'e çok benziyor." Bütün bunlar bir yana, GitHub kötü amaçlı iş akışlarının yürütülmesini tespit edip engelledi, GitGuardian belirtti. Ancak önemli olan, saldırganların hâlâ yaklaşık **1.800** ele geçirilmiş hesaba kalıcı erişim göstermesi; bunların çoğu daha önce GhostAction etkinliğinde kullanılmıştı; Ferry'ye göre "1.792 ele geçirilen hesaptan 1.382'si 8 Ekim'de zaten kullanılmıştı, dolayısıyla aynı çalıntı belirteçler hâlâ çalışıyor." ## "Başarısız" Bir Saldırı Dalgası, Ama Uzun Vadede Endişe Edilecek Çok Şey Var Ferry, Dark Reading'e kampanyanın "kötü amaçlı iş akışları tarafında son derece etkisiz" olduğunu söylüyor. Bu dalganın başarılı olduğuna dair bir işaret olmasa da, yüklerin doğası, bulut erişimi elde etmeyi amaçlayan yük gibi, saldırganların bir sonraki adımda nereye kaymayı amaçladığını da gösteriyor; bu, çabalarını platform düzeyi korumaların engelleyebileceği daha az koruma olan iç ağlara kaydırıyor. "Yakın gelecekte revize edilmiş yüklerle yeni dalgaların görüneceğini bekliyoruz," diye açıklıyor. "Bu 'erken başarısız ol ve hızlı adapte ol' stratejisi bu tehdit aktörü için zaten gözlemlendi." Hedeflenen hesaplar veya depoların hâlâ ele geçirilmiş olması nedeniyle, depo sahipleri GitGuardian'ın blogundaki IoC bölümünde listelediği dosyaları her dalda aramalı ve silmelidir. Ve bir ihlal işareti tespit edilirse, kullanıcılar hesabın belirteçlerini tamamen iptal etmeli ve etkilenen depoda veya geçmişinde taahhüt edilen her kimlik bilgisini, ayrıca her Actions sırrını ve viki kimlik bilgisini döndürmelidir. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/ghostaction-dalgasi-etkisiz-kaldi-saldirganlar-github-da-aktifligini-surduruyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.