--- title: "Sahte Web3 hızlandırıcı npm paketleriyle kötü yazılım yaydı, yapay zekâ ajanı trafiğini ele geçirdi" url: "https://teknotayf.com/haber/sahte-web3-hizlandirici-npm-paketleriyle-kotu-yazilim-yaydi-yapay-zek-ajani-trafigini-ele-gecirdi" markdown_url: "https://teknotayf.com/haber/sahte-web3-hizlandirici-npm-paketleriyle-kotu-yazilim-yaydi-yapay-zek-ajani-trafigini-ele-gecirdi.md" site: "teknotayf.com" language: "tr" published: "2026-10-19 13:06:40" updated: "2026-10-19 12:10:55" category: "Siber Güvenlik" tags: ["Yapay Zeka","Siber Güvenlik","npm","Web3","Kötü Yazılım"] source: "The Hacker News" --- # Sahte Web3 hızlandırıcı npm paketleriyle kötü yazılım yaydı, yapay zekâ ajanı trafiğini ele geçirdi > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/sahte-web3-hizlandirici-npm-paketleriyle-kotu-yazilim-yaydi-yapay-zek-ajani-trafigini-ele-gecirdi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Apex Accelerator adını kullanan sahte bir Web3 hızlandırıcı, ücretsiz yapay zekâ kredisi vaadiyle dağıtılan zararlı npm paketleriyle Windows ve macOS sistemlere bilgi hırsızı ve arka kapı yükledi. Elastic Security Labs araştırmacılarına göre paketler ayrıca OpenRouter LLM trafiğini yönlendirip kurbanın ajan yapılandırmasında kendi MCP sunucusunu kaydediyor. - **Yayın tarihi:** 2026-10-19 13:06 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Yapay Zeka, Siber Güvenlik, npm, Web3, Kötü Yazılım - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/fake-web3-accelerator-uses-npm-packages.html) ![Sahte Web3 hızlandırıcı npm paketleriyle kötü yazılım yaydı, yapay zekâ ajanı trafiğini ele geçirdi](https://teknotayf.com/assets/uploads/2026/10/eb8c8cbf455cc0b8a8c52c83a5276c6a.jpg) Ravie Lakshmanan • 19 Ekim 2026 Kötü Yazılım / Yapay Zeka Sahte bir Web3 hızlandırıcı, Anthropic Claude ve Google Gemini için ücretsiz yapay zekâ kredisi, kodlama araçları ve güvenlik denetimi vaadiyle Windows ve macOS sistemlere bilgi hırsızı ve arka kapı gönderen zararlı npm paketleri kullanıyor. Elastic Security Labs araştırmacıları Jia Yu Chan ve Daniel Stepanic, "Araçlar macOS ve Windows makineler için bilgi çalan kötü yazılım ve arka kapılar teslim etti" dedi. "Operasyon ayrıca meşru bir kodlama ajanını yeniden paketleyerek model isteklerini saldırgan kontrollü servislerden geçirdi, denetim araçları ise uydurma güvenlik bulguları üretti." Şema, kripto para girişimlerini ve kurucularını hedeflemek için **Apex Accelerator** adlı bir Web3 girişim sermayesi hızlandırıcısı kılığına giriyor. Takip adı **REF8801**. Her ikisi de Windows ve macOS'u hedefleyen npm paketlerinin adları şöyle: @apexacc/cli (Apex Copilot CLI — Web3 kurucuları için yapay zekâ danışmanı) - @apexacc/audit (Web3 Security Scanner — DYOR ve akıllı sözleşme denetimi için 18 araç) Paketlerin ve ilişkili GitHub depolarının artık erişilemediği görülüyor. "@apexacc/cli" Claude Fable 5 ve Gemini 2.5 Flash destekli "Web3 kurucuları için yapay zekâ danışmanı" olarak tanıtılıyordu. "@apexacc/audit" ise token, cüzdan ve akıllı sözleşme taraması için 18 güvenlik aracı sunan bir Model Context Protocol (MCP) sunucusu olduğunu iddia ediyordu. Her iki paket de "apexaccelerator" adlı bir npm kullanıcısı tarafından yayımlandı ve "apexaccs" adlı bir GitHub hesabı ile Apex Foundation adlı bir kuruluşa bağlıydı. Kampanya yeni değil. Temmuz 2026 sonunda SafeDep, aynı operasyona bağlı ve Atomic Stealer (takma adıyla AMOS) ailesine ait bir macOS hırsızı dağıttığı tespit edilen üç başka npm paketini detaylandırdı - @copilot-mcp/apex, "@apexacc/cli" ile aynı paket açıklamasına sahip @apexfdn/copilot-mcp, "portföy özeni ve operatör araçları" için bir Apex Copilot ve MCP sunucusu olduğunu iddia ediyor Socket tarafından yakalanan bulgular, Apex Foundation'ın Nisan 2026'dan bu yana en az iki farklı domaine bağlandığını gösteriyor 19 Mart 2026'ya kadar uzanan Internet Archive görüntüleri, kuruluşun şu açıklamayı yaptığını gösteriyor: "Apex Foundation, kriterlerimize uymayan projeleri yatırımcılar, melek yatırımcılar ve özel sermaye ile buluşturuyor ve 235.000 dolarlık yatırım, hibe ve ortaklık sunuyor." X'te paylaşılan gönderiler, hızlandırıcının kripto para cüzdanı geliştiricileri ve traderlar için piyasa istihbaratı araçları geliştiricilerine doğrudan yatırım teklifiyle yaklaştığını ve "@apexacc/cli" adlı özen aracını çalıştırmaları için talimat verdiğini gösteriyor. İkincisinde npm paketi, "com.apple.system.loader" olarak gizlenmiş şifrelenmiş bir kötü yazılım yükleyici bırakıyor. ![](https://teknotayf.com/assets/uploads/2026/10/90a5462245420ffe5c08318c6c46ac17.webp) "Grup, Singapur'daki TOKEN2049'da ve geçmişte ev sahipliği yaptığı diğer yüz yüze etkinliklerdeki varlığıyla güvenilirlik inşa etmeye çalıştı" diyen Elastic, "Grup, yaygın katılımlı konferanslara görünerek dolaylı olarak projeye güvenilirlik kazandırmaya çalışıyor" ifadelerini kullandı. Kurulduktan sonra her iki npm paketi de vaat edilen işlevi sunmuyor. @apexacc/audit paketindeki 18 güvenlik aracı uydurma bulgular üretiyor, @apexacc/cli'nin puanlama testi ise kurgusal bir proje için geçersiz bir değerlendirme döndürüyor. Bunun yerine birincil görevleri, Telegram üzerinden veri sızdıran özel bir Windows bilgi hırsızı ve macOS arka kapısı **CloudSyncD**'yi yaymak. Platforma özgü çalıştırılabilir dosyalar projelerin GitHub sürümlerinden alınıyor. ![](https://teknotayf.com/assets/uploads/2026/10/593b2c04f8b850e24d201caada0a4d98.webp) Her iki paket de uygun sonraki aşamayı başlatmak için Windows için "win32" ya da macOS için "darwin" göndererek "vrf.apexaccs[.]org/api/v1/vrf" adresine HTTP POST isteği gönderen farklı bir doğrulama yolu uyguluyor. Windows ve macOS enfeksiyon zincirleri şöyle: Kötü yazılım, "0auth-chromium[.]com/APIService" adresine ulaşan Base64 ile kodlanmış bir PowerShell komutu alıyor, ikinci bir PowerShell betiği "drop.ps1" indiriyor, bu betik "ehegisnightmare[.]icu" adresinden "bludness.exe" çalıştırılabilir dosyasını indirip gizli pencerede başlatıyor. PyInstaller çalıştırılabilir dosyası bir Python yükleyicisi. Yönetici ayrıcalıklarına sahipse "ehegisnightmare[.]icu" adresinden bir sonraki aşamayı indiriyor, "%TEMP%\exegis.exe" olarak kaydedip çalıştırıyor. Değilse UACME'nin ucmDebugObjectMethod() yöntemiyle Kullanıcı Hesabı Denetimi'ni atlamaya çalışıyor. "exegis.exe" ikili dosyası başka bir PyInstaller çalıştırılabilir dosyası. Sistem meta verilerini topluyor, çalışan işlemleri listeliyor, anti-sanal makine kontrolleri yapıyor ve ardından "%TEMP%\updater_loader.exe" olarak paketlenmiş bir yükleyiciyi şifresini çözüp başlatıyor. Golang çalıştırılabilir dosyası Antimalware Scan Interface (AMSI) ve Event Tracing for Windows (ETW) yamalar, uç nokta güvenlik araçlarını kör etmek için "ntdll.dll"'yi ayıklıyor ve bir sonraki aşama shellcode'unu kendi belleğine yüklüyor. Shellcode yerel bir bilgi hırsızı. Önceki enfeksiyon belirtilerini inceliyor, ardından sistem bilgisi, panodaki metin, işlem listeleri, Wi-Fi profil adları, ekran görüntüleri ve cüzdanlar, tarayıcı eklentileri, mesajlaşma, uzaktan erişim ve FTP uygulamaları, VPN istemcileri, tarayıcılar (Google Chrome, Microsoft Edge, Mozilla Firefox ve Yandex) ve oyun istemcileri verilerini topluyor. Hırsız ayrıca Chrome'un uygulama bağlı şifrelemesi (ABE) korumalarını atlayarak kaydedilmiş parolalar, oturum çerezleri, gözatma geçmişi, indirme kayıtları ve profil meta verilerini çıkarabiliyor. Toplanan veriler Telegram üzerinden sızdırılıyor. Kötü yazılım uzaktan barındırılan bir bash betiği indirip makinede çalıştırıyor. Shell betiği "verify.apexfdn[.]xyz/unix/" adresinden GZIP ile sıkıştırılmış bir arşiv indiriyor, geçici bir dizinde "package.tar.gz" olarak kaydedip içeriğini çıkarıyor. Arşiv, CloudSyncD için bir bırakıcı içeriyor. Önce sahte bir yetkilendirme istemiyle kurbanın sistem giriş parolasını avlıyor, ardından sudo ayrıcalıklarıyla gömülü bir yükü başlatmak için kullanıyor. Yük, ana bilgisayar keşfi yapıyor, donanım ve işletim sistemi ayrıntılarını topluyor ve ardından veriyi iletmek ve ek yükleri indirip çalıştırmasına izin veren daha fazla görev almak için harici bir sunucu ("ccmihr[.]com") ile iletişime geçiyor. CloudSyncD'nin sahte bir Zoom yükleyicisi üzerinden yayıldığı belirtilerek Jamf Threat Labs tarafından geçen ayın sonunda ilk kez belgelendiği hatırlatılıyor. Kötü yazılımın vahşi doğada Eylül 2026 ortasında tespit edildiği bildiriliyor. "Davranışları, macOS kötü yazılımlarının yerel uygulamalara, dize korumasına ve yükleri diske yazmaktan kaçınmaya çalışan yürütme yollarına doğru ilerlemeye devam ettiğini, hâlâ en eski teknik olan kullanıcıdan parola istemeye bağlı kaldığını gösteriyor" dedi Jamf. Enfekte işletim sistemine bağlı olarak bir hırsız ve arka kapı dağıtmaktan başka, paketler OpenRouter büyük dil modeli (LLM) trafiğini engelleyip yönlendirebiliyor ve kurbanın ajan yapılandırmasında kendi kontrolündeki bir MCP sunucusu kaydedebiliyor. Elastic araştırmacıları, "Bu değişiklikler, saldırgan kontrollü API'nin ajanın LLM isteklerine dahil edilen istemleri, sohbet geçmişini, kod parçalarını ve araç çıktılarını almasına izin veriyor" diye açıkladı. "Saldırganın MCP sunucusu ayrıca ajanın istemine eklenen talimatlar sağlayabiliyor; araç adları, açıklamaları ve kabul edilen girdiler modelin hangi araçları çağıracağına ve nasıl kullanacağına karar vermesine yardımcı oluyor. Bu mekanizmalar birlikte saldırgana gönderilen veriler hakkında görünürlük sağlıyor ve ajanın sonraki eylemlerini etkileme yolu veriyor." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/sahte-web3-hizlandirici-npm-paketleriyle-kotu-yazilim-yaydi-yapay-zek-ajani-trafigini-ele-gecirdi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.