Siber saldırılar ve veri ihlalleri
Bir geliştiricinin birkaç ay önce ele geçirilen GitHub hesabı, habersiz kullanıcılara kötü amaçlı kod göndermek için kullanıldı.
GlassWorm tehdit aktörleri büyük bir balık yakalamış görünüyor.
Fransız bulut sağlayıcısı OVHcloud, Pazartesi günü bir GitHub deposunun ele geçirildiğini ve tehdit aktörlerinin şirketin açık kaynak komut satırı arayüzü aracındaki mevcut varlıkları kötü amaçlı ikili dosyalarla değiştirdiğini açıkladı. OVHcloud'un başkanı ve CEO'su Octave Klaba, olayı sosyal medya platformu X'te yaptığı paylaşımlarla duyurdu ve aracın son sürümünü indiren kullanıcıları tekrar çok hızlı bir şekilde güncellemelerini ya da silmelerini istedi.
"Hacker, geliştiricilerden birinin GitHub hesabını kullandı ve diske sırları almakla görevli bir ikili dosya ekledi" diye yazdı Klaba X paylaşımında. "İkili dosyanın kalitesi kötü ama her yere kadar gidebiliyor. Etkilendiyseniz lütfen diskinizdeki tüm sırları değiştirin."
OVHcloud'un olay sonrası incelemesine göre, tedarik zincirindeki etki kapsamı küçük görünüyor çünkü kötü amaçlı ikili dosyalar yalnızca 1 saat 33 dakika boyunca erişilebildi, ancak yaklaşık 250 kez indirildi.
Ancak saldırı, Ekim 2025'te ortaya çıkan ve o zamandan beri sürekli olarak yazılım tedarik zincirlerini hedef alan, önceki GlassWorm saldırılarında solucan işlevselliği sayesinde uzun kuyruklar ve geniş etki alanları görülen kendi kendini çoğaltan kötü amaçlı yazılım ve botnet olan GlassWorm tehdit aktörleriyle bağlantılıydı.
Ele geçirilen GitHub hesabı depo ihlaline yol açtı
Saldırganlar, OVHcloud'un geliştiricilerinden birine ait ele geçirilen bir GitHub hesabını kullanarak ovhcloud-cli projesine erişim sağladı. Kısa bir süre için tehdit aktörleri meşru sürümleri aracın kötü amaçlı sürümleriyle değiştirdi.
Pazartesi günü bir GitHub kullanıcısı zehirli bir sürümü indirdi ve şüpheli aktivite gözlemledikten sonra hızla OVHcloud'a bir GitHub sorunu bildirdi. OVHcloud, deposu inceledi ve kötü amaçlı ikili dosyayı yaklaşık 30 dakikada kaldırdı. OVHcloud güvenlik ekibi ayrıca şirketin tüm depolarını taradı ve başka birinin etkilenmediğini belirledi.
Bulut sağlayıcısı ayrıca, üretim için ana CI/CD platformunun GitHub'da barındırılmayan özel bir Git deposu örneğinde dahili olarak çalıştığını ve bu nedenle saldırının etkilenmediğini belirtti.
OVHcloud güvenlik ekibine göre, tedarik zinciri saldırısı basit bir yanlış yapılandırma nedeniyle mümkün oldu.
"Ana sorun, GitHub deposunun yazılım yayınlandıktan sonra varlıkların değiştirilebilmesini engelleyecek şekilde yayın değişmezliğini sağlayacak şekilde uygun şekilde yapılandırılmamış olmasıydı" diye yazdı şirket olay sonrası incelemesinde. Bu yanlış yapılandırma derhal düzeltildi ve depo artık risk altında değil. Aynı yapılandırma tüm depolar için uygulandı.
OVHcloud saldırısı GlassWorm tehdit aktörleriyle bağlantılı
Başlangıçta tehdit aktörlerinin CLI aracı deposuna erişim için kullanılan ele geçirilen hesabı nasıl elde ettiği belirsizdi. Ancak tehdit istihbaratı platformu OpenSourceMalware'de dün yayınlanan bir blog yazısında güvenlik araştırmacısı Paul McCarty, daha önce GlassWorm kampanyalarında kullanılan bir Solana cüzdan adresi üzerinden tedarik zinciri saldırısını GlassWorm tehdit aktörlerine bağladı.
Belki daha da önemlisi, McCarty OVHcloud deposuna erişim için kullanılan geliştirici hesabını inceledi ve yedi aydır ele geçirildiğini buldu. "Açık depoları 5 Mart 2026'da komut dosyası tabanlı bir geçmiş yeniden yazma ve bir Solana memo ölü düşüşü kullanarak ikinci aşamayı kodlayan gizli bir preinstall.js yükleyici gösteriyor" diye yazdı. "Cüzdan bilinen bir GlassWorm göstergesidir ve amend-and-force-push tekniği ForceMemo kampanyasıyla eşleşiyor."
O daha önceki kampanyada GlassWorm, Microsoft'un Visual Studio Marketplace'ine açık kaynaklı bir alternatif olan Open VSX'te düzinelerce uzantı paketine bulaştı. Ancak OVHcloud güvenlik ekibi daha sonra geliştiricinin 20 Ekim 2025'te kişisel bir MacBook'a zehirli bir uzantı yüklediğini keşfetti.
Geçen ekimde siber güvenlik firması Socket, OVHcloud'un raporunda bahsettiği tam uzantı sürümü [email protected]'i işaret etti.
"Uzantının yükleyicisi, görünmez Unicode karakterlerinde yürütülebilir kodu gizler, uzaktan bir yükü bulmak için Solana işlem memolarını sorgular ve bu kodu indirip çalıştırır" diyor Socket Threat Research Team adına bir sözcü Dark Reading'e. "Ayrıca GlassWorm temaları araştırmamızda belgelediğimiz aynı ivbase64 ve secretkey yanıt başlıklarını kullanıyor. Bu davranışlar incelediğimiz GlassWorm yükleyicileriyle tutarlı."
OVHcloud hemfikir oldu ve olay sonrası incelemesinde Solana cüzdan adresinin GlassWorm'a işaret ettiğini belirtti. Ancak Socket, adresin firmanın daha önceki Open VSX araştırmasında gözlemlediğiyle eşleştiğini, ancak Socket'in sakladığı uzantı dosyasının farklı bir adres gömülü olduğunu belirtiyor. "OVHcloud'un belirttiği adresin daha sonraki bir yük aşamasında görünüp görünmediğini tespit etmedik ve Ekim ayındaki CLI ikili dosyalarını bağımsız olarak analiz etmedik" diyor sözcü.
Saldrıya kimin atfedildiği ne olursa olsun, Socket Threat Research Team kişisel bir güvenlik açığının kurumsal güvenlik riskine yol açabileceğini vurguluyor.
"OVHcloud'un hesabı, kişisel bir makinedeki bir uzantı enfeksiyonunun kötü amaçlı yazılımın bir çalışanın kullanıcılarına ulaşmasına nasıl yol açabileceğini gösteriyor" diyor sözcü. "Şirket kaynak kodu ve derleme zincirinin etkilenmediğini söylüyor, ancak çalınan kimlik bilgileri saldırganların resmi sürümleri aracılığıyla dağıtılan ikili dosyaları değiştirmesine izin verdi."
