Google, CrowdStrike ve Shadowserver Foundation, yazılımcıları amaç alan Glassworm botnet altyapısını çökertti. Açık kaynak yazılım ekosistemini tehdit eden akında 300’den fazla GitHub deposu zehirlenirken, botnet’in dört farklı komuta-kontrol kanalı birebir anda devre dışı bırakıldı.
Google, CrowdStrike ve Shadowserver Foundation, açık kaynak yazılım dünyasını yakından ilgilendiren kıymetli bir operasyon gerçekleştirdi. Üçlü iş birliğiyle, yazılımcıları gaye alan Glassworm botnet altyapısı devre dışı bırakıldı. Yani mevzu sadece birkaç bilgisayara bulaşan sıradan bir ziyanlı yazılım olayı değil.
Glassworm’u tehlikeli yapan asıl nokta, direkt yazılımcıların kullandığı araçları maksat almasıydı. Zira bir geliştiricinin bilgisayarı ele geçirildiğinde, o kişinin erişebildiği kod depoları, paket sistemleri ve bulut altyapıları da risk altına girebiliyor. Bu da akının tesirini tek bireyden binlerce kullanıcıya taşıyabiliyor.
Glassworm, geliştiricilerin güvendiği araçlar üzerinden yayılıyordu
CrowdStrike’ın aktardığı bilgilere nazaran Glassworm; düzmece VS Code eklentileri, ziyanlı npm ve Python paketleri, ayrıyeten ele geçirilmiş GitHub hesapları üzerinden yayılıyordu. Saldırganlar kimi eklentileri vakit takip aracı ya da kod biçimlendirici üzere göstererek geliştiricilerin inancını kazanmaya çalıştı.
İşin daha da önemli tarafı, saldırganların daha evvel çaldıkları geliştirici kimlik bilgileriyle 300’den fazla GitHub deposuna ziyanlı kod yerleştirmesiydi. Böylelikle sadece virüs bulaşan bilgisayarlar değil, bu depolardaki kodları kullanan kişi ve kurumlar da potansiyel tehlikenin içine çekildi.
Botnet’in “kolay kolay çökmez” denilen altyapısı vardı
Glassworm’un altyapısı bilhassa sağlam olacak biçimde tasarlanmıştı. Botnet; Solana blockchain, BitTorrent DHT ağı, Google Calendar aktiflik başlıkları ve ticari VPS sunucuları üzerinden komuta-kontrol irtibatı kuruyordu. Bu sayede saldırganlar, tek bir kanal kapatılsa bile öteki kanallar üzerinden operasyonu sürdürebiliyordu.
Tam da bu yüzden operasyonun en kritik kısmı eş vakitli müdahale oldu. CrowdStrike, Google ve Shadowserver Foundation, Glassworm’un dört komuta-kontrol kanalını birebir anda amaç aldı. Böylelikle enfekte aygıtların saldırganlardan yeni talimat yahut ziyanlı yazılım yükü almasının önüne geçildi.
Windows, macOS ve Linux kullanıcıları da etkilenmişti
Glassworm sadece muhakkak bir işletim sistemini maksat almıyordu. Ziyanlı yazılımın Windows, macOS ve Linux aygıtlarda çalışabildiği belirtiliyor. Üstelik sırf data çalmakla kalmıyor; GlasswormRAT ismi verilen Node.js tabanlı uzaktan erişim aracıyla saldırganlara enfekte sistemler üzerinde daha geniş denetim imkânı da sunuyordu.
Bu noktada sorunun neden bu kadar değerli olduğu daha net anlaşılıyor. Yazılımcılar; kaynak kod depolarına, CI/CD sistemlerine, paket yöneticilerine ve bulut platformlarına erişebiliyor. Hasebiyle tek bir geliştiricinin hesabının ele geçirilmesi, birçok şirketi ve kullanıcıyı etkileyebilecek bir tedarik zinciri saldırısına dönüşebiliyor.
Enfekte sistemler için denetim edilmesi gereken IP adresi paylaşıldı
CrowdStrike, Glassworm’dan etkilenmiş olabilecek kurumlar için kıymetli bir gösterge de paylaştı. Şirkete nazaran Glassworm bulaşmış makineler artık CrowdStrike tarafından denetim edilen zararsız 164.92.88[.]210 IP adresine irtibat kuruyor. Kurumların ağ kayıtlarında bu adrese irtibat olup olmadığını denetim etmesi öneriliyor.
Bu operasyon, açık kaynak yazılım ekosistemindeki güvenlik risklerini bir defa daha gündeme taşıdı. Zira geliştiricilerin her gün kullandığı eklentiler, paketler ve kod depoları; saldırganlar için çok verimli maksatlara dönüşmüş durumda. Glassworm’un çökertilmesi kıymetli bir adım olsa da bu üslup atakların büsbütün biteceğini söylemek pek mümkün değil.
