Yazılım geliştirme dünyasında açık kaynak paketlerin kullanımı yaygınlaştıkça, siber saldırganlar da bu ekosistemi hedef alan yeni yöntemler geliştiriyor. Sonatype'ın son analizine göre, kötü amaçlı paketlerin büyük çoğunluğu artık klasik yazım hatası (typosquatting) taktiklerini terk etmiş durumda. 4.309 kötü amaçlı paketin incelendiği araştırmada, %91'inin isim benzerliği (naming-variant) yöntemleri kullandığı, yalnızca %9'unun ise geleneksel savunma mekanizmalarının hedeflediği yazım hatalarına dayandığı ortaya çıktı.
Bu değişimin önemi, bu paketlerin masum taklitçiler olmamasından kaynaklanıyor. Analiz edilen kötü amaçlı paketlerde en yaygın davranışların başında, ana bilgisayar ve sırların (secrets) dışarı sızdırılması (exfiltration) geliyor. Bunu, dropper ve backdoor yüklemeleri takip ediyor. Yani, bir geliştiricinin sıradan bir paket kurulumu, aniden kimlik bilgilerinin çalınmasına ve sistemin ele geçirilmesine yol açabiliyor.
Peki saldırganlar bu isim benzerliğini nasıl sağlıyor? Sonatype, en yaygın taktiğin sonek ekleme (suffix addition) olduğunu belirtiyor; bu yöntem vakaların %43.6'sında kullanılıyor. Bunun yanında önek ekleme, hedef terimleri gömme, bağımlılık karışıklığı (dependency-confusion) desenleri ve sürüm taklidi gibi teknikler de sıkça görülüyor. Saldırganlar, meşru bir projeye harf harf kopyalamak yerine, ona bitişik gibi görünen isimler inşa ediyor.
Bu taktiklerin başarısı, geliştiricilerin iş akışına doğal olarak uyum sağlayan paketler oluşturmalarından geliyor. Örneğin, bir eklenti veya yapılandırma dosyası gibi görünen kötü amaçlı bir paket, geliştirici tarafından fark edilmeden projeye dahil edilebiliyor. Bu durum, özellikle otomatik bağımlılık yöneticileri (dependency managers) kullanıldığında daha da tehlikeli hale geliyor, çünkü paketler genellikle manuel olarak incelenmiyor.
Geliştiricilerin ve güvenlik ekiplerinin bu yeni tehdit karşısında proaktif önlemler alması gerekiyor. Geleneksel yazım hatası kontrolleri artık yeterli değil. Bunun yerine, isim benzerliği algoritmalarını kullanan güvenlik araçları, bağımlılık taraması ve sürekli izleme çözümleri devreye alınmalı. Ayrıca, geliştiricilerin yalnızca resmi ve güvenilir kaynaklardan paket indirmesi, her kurulum öncesi paket adını ve yayıncısını doğrulaması önemli.
Sonatype'ın bu araştırması, yazılım tedarik zinciri güvenliğinde yeni bir döneme işaret ediyor. Saldırganlar, savunma mekanizmalarını aşmak için sürekli taktik değiştiriyor. Bu nedenle, güvenlik stratejilerinin de aynı hızla evrilmesi şart. Geliştiriciler, açık kaynak paketleri kullanırken yalnızca işlevselliğe değil, aynı zamanda güvenlik geçmişine de dikkat etmeli; şüpheli isimlendirme desenlerine karşı tetikte olmalıdır.
Kaynak: infosecurity-magazine.com
