4.800 GitHub Hesabı Ele Geçirildi: wfx-loot Saldırısı Bulut Anahtarlarını Çalıyor

Yazılım geliştiricilerin en çok kullandığı platformlardan GitHub’da geniş çaplı bir hesap ele geçirme kampanyası ortaya çıktı. Güvenlik şirketi Aikido Security’ye göre saldırgan, çalıntı kimlik bilgileriyle binlerce hesaba girerek otomatik derleme süreçlerindeki bulut ve yapay zekâ anahtarlarını çalmaya çalıştı. Türkiye’deki yazılım ekipleri de GitHub’ı yoğun kullandığı için uyarılar herkesi ilgilendiriyor.

wfx-loot kampanyasında neler oldu?

Aikido’nun wfx-loot adını verdiği kampanya 10 Kasım’da UTC ile 12.45 civarında başladı. Şirketin verilerine göre saldırgan 4.837 GitHub hesabına erişti, 61.764 depoyu taradı ve en az 1.835 depoda çalışan bir kimlik bilgisi hırsızı yerleştirdi. Aikido, aynı yazıda 1.806 depoluk daha düşük bir rakam da veriyor ve gerçek zararın daha büyük olabileceğini belirtiyor. Cybernews ise hedef alınan 66 binden fazla depo içinde yaklaşık 1.970 doğrulanmış vaka bildirdi. Saldırı GitHub’daki bir açıktan kaynaklanmıyor; SailPoint’e göre saldırgan, zaten yazma yetkisi olan geçerli ama çalınmış token’larla oturum açtı. Chainguard, kampanyanın 12 Kasım’da hâlâ sürdüğünü açıkladı.

Saldırı nasıl işliyor, hangi anahtarlar hedefte?

Aikido’ya göre her saldırı, “docs: dependency audit notes” başlıklı masum görünen bir çekme isteğiyle (pull request) başlıyordu. Bu istek, çalınan token’ın depoya yazma yetkisi olup olmadığını sınamak için kullanılıyordu. Yetki bulunan depolarda yaklaşık 1.500 satırlık bir betik, mevcut bir GitHub Actions iş akışına gizlice ekleniyordu. GitHub Actions, kod her güncellendiğinde testleri ve derlemeyi otomatik çalıştıran sistem. BleepingComputer’a göre saldırgan değişikliği bir dakika içinde geri alıp kayıtları siliyordu. Betik; AWS, Azure ve Google Cloud kimlik bilgilerinin yanı sıra OpenAI, Anthropic, Cursor ve Copilot gibi yapay zekâ araçlarının anahtarlarını da topluyor.

Kimler etkilendi, ne yapmak gerekiyor?

Aikido, Cybernews’e yaptığı açıklamada ele geçirilen hesapların bir kısmının Fortune 100 şirketlerindeki kullanıcılara ait olduğunu söyledi. Bazı hesapların Nextcloud, WebdriverIO, ABD Genel Hizmetler İdaresi ve Fransa’nın beta.gouv.fr projesinin depolarına erişimi bulunuyordu; şirket bunun, hırsız yazılımın o depolarda çalıştığı anlamına gelmediğini vurguluyor. Aikido’ya göre yoklama amaçlı açılan çekme isteklerinin yüzde 92’si hâlâ açık, yani depo sahiplerinin çoğu durumu fark etmemiş görünüyor. SecurityWeek’in aktardığına göre araştırmacılar, şüpheli token’ların iptal edilmesini, açığa çıkan gizli anahtarların yenilenmesini ve bulut ortamlarının yetkisiz değişikliklere karşı denetlenmesini öneriyor. Aikido, betik çalıştıysa iş akışının erişebildiği tüm anahtarların ele geçirilmiş sayılması gerektiğini belirtiyor.