"ChainDrop" npm solucanı 1.300'den fazla paketi ele geçirdi — keyv ve cacheable dahil

npm paket ekosisteminde “ChainDrop” adı verilen kendi kendini yayan bir tedarik zinciri solucanı, aylık 2 milyar indirime sahip 1.300’den fazla paketi etkileyen büyük çaplı bir saldırı dalgası başlattı.

Saldırının anatomisi

Saldırgan, haftalık 127 milyon indirmeye sahip keyv kütüphanesinin bakıcısına ait GitHub hesabını ele geçirerek işe başladı. Bu erişimle keyv, cacheable, flat-cache ve file-entry-cache gibi yaygın kullanılan yardımcı paket ailelerine kötücül bir preinstall betiği enjekte etti. Shai-Hulud kampanyasının bir devamı olarak nitelendirilen ChainDrop, kurulum anında gizlice bir Bun çalışma zamanı indiriyor ve bu çalışma zamanı üzerinden GitHub/npm token’larını, AWS kimlik bilgilerini, Kubernetes sırlarını ve Stripe, Slack, Twilio gibi üçüncü taraf servis anahtarlarını topluyor. Ardından çaldığı token’ları kullanarak kendini başka paket bakıcılarının hesaplarına da yayıyor.

Neden tespiti zor

Zehirli sürümler GitHub Actions üzerinden yayınlandığı için geçerli bir “provenance” (kaynak doğrulama) imzası taşıyor — yani npm’in kendi doğrulama mekanizması, saldırıyı meşru bir yayın gibi gösteriyor. Bu durum, geleneksel “imzalı paket güvenlidir” varsayımının tedarik zinciri saldırılarına karşı tek başına yeterli olmadığını bir kez daha ortaya koyuyor.

Sektöre etkisi

Node.js/npm tabanlı yazılım projelerinin büyük bölümü, önbellekleme işlevi için bu paket ailelerine doğrudan ya da geçişli (transitive) bağımlılık üzerinden dokunuyor olabilir — çünkü bu paketler pek çok popüler kütüphanenin altında sessizce çalışır. Bağımlılık ağaçlarının (npm ls keyv cacheable flat-cache file-entry-cache gibi komutlarla) taranması ve etkilenen sürüm aralığına denk gelen kurulumlar tespit edilirse CI/CD çalıştırıcıları ile geliştirme ortamlarındaki GitHub, npm, bulut sağlayıcı ve dağıtım platformu token’larının tedbiren yenilenmesi öneriliyor. Kanıt bulunmasa dahi kilit dosyası taraması ucuz ve hızlı bir önlem olarak değerlendiriliyor; olay aynı zamanda açık kaynak ekosisteminde bakıcı hesabı güvenliğinin (iki faktörlü kimlik doğrulama, en az yetki ilkesi) tek başlı bir zafiyet noktası olmaya devam ettiğini gösteriyor.