ChainDrop Zararlı Yazılımı Npm Paketlerine Sızarak Geliştirici Araçlarını Hedef Alıyor

npm ekosisteminde tespit edilen ChainDrop adlı yeni bir zararlı yazılım, açık kaynaklı paketlerin tedarik zincirini hedef alan karmaşık bir saldırı gerçekleştirdi. Shai-Hulud adlı zararlı yazılım ailesinin bir varyantı olan bu tehdit, Ağustos 2025'in başlarında keşfedildi ve aylık toplam 2 milyar indirme sayısına ulaşan keyv, flat-cache ve cache-manager gibi kritik altyapı bağımlılıklarını etkiledi.

Bu saldırıyı diğerlerinden ayıran en önemli özellik, kaynak kod depolarındaki değişiklikleri inceleyen standart güvenlik araçlarını yanıltabilmesi. ChainDrop, zararlı kodunu doğrudan kaynak kod depolarına işlemek yerine, paketlerin dağıtıldığı tarball arşiv formatını hedef alıyor. Yazılım, enfekte ettiği bir sistemde npm token'larını, bulut anahtarlarını ve diğer hassas verileri ele geçirdikten sonra, ilgili token'ın erişebildiği paketlerin tarball dosyalarını yeniden oluşturarak kendi zararlı yükünü bu dosyalara enjekte ediyor.

Saldırı, sadece paket kurulumuyla sınırlı kalmıyor; geliştiricilerin kullandığı VS Code ve Claude Code gibi araçların konfigürasyon dosyalarına başlangıç kancaları yerleştiriyor. Bu sayede, enfekte olmuş bir Git dalı açıldığında zararlı yazılım otomatik olarak tetikleniyor. Ayrıca GitHub kimlik bilgilerini ele geçiren ChainDrop, GitHub API'sini kullanarak erişilebilir tüm depoları listeliyor ve zararlı konfigürasyon kodunu bu dallara işleyerek saldırı döngüsünü sürdürüyor.

ActiveState CEO'su Abby Kearns, geliştiricilerin sistemlerinde kendilerine ait olmayan .claude/settings.json ve .vscode/tasks.json dosyalarını kontrol etmeleri gerektiğini vurguluyor. Güvenlik firması SafeDep, saldırıdan etkilenen paketlerin ve sürüm numaralarının bir listesini yayınladı; geliştiricilerin mevcut projelerindeki bağımlılıkları bu liste ile karşılaştırmaları öneriliyor. Uzmanlar, depo tarafından sağlanan konfigürasyon dosyalarının artık yürütülebilir içerik olarak kabul edilmesi gerektiğini ve CI/CD süreçlerinin bu yeni tehdit vektörüne göre yeniden yapılandırılması gerektiğini belirtiyor.