Siber güvenlik dünyasında son günlerde dikkat çeken yeni bir sosyal mühendislik saldırısı ortaya çıktı. Bu kez saldırganlar herhangi bir yazılım açığını hedef almak yerine insanların güvenini kullanmayı tercih etti.
Ortaya çıkan bilgilere göre saldırganlar, Linux Foundation topluluklarında görev alan tanınmış bir yetkilinin kimliğine bürünerek geliştiricilerle Slack üzerinden iletişime geçti. Özellikle açık kaynak projelerinde aktif rol alan ve topluluk çalışmalarına katkı sağlayan kişilerin hedef seçildiği belirtiliyor.
İlk bakışta sıradan görünen bu saldırı aslında oldukça önemli bir gerçeği ortaya koyuyor. Günümüzde saldırganlar artık yalnızca sistemlerdeki teknik açıkları aramıyor. Bunun yerine şirketlerin, toplulukların ve geliştiricilerin birbirleriyle kurduğu güven ilişkilerini hedef alıyor.
Hedefte Açık Kaynak Dünyası Var
Saldırının hedef aldığı topluluklar arasında CNCF (Cloud Native Computing Foundation) ve TODO Group gibi teknoloji dünyasının önemli organizasyonları bulunuyor.
Özellikle CNCF çatısı altında geliştirilen:
- Kubernetes
- Prometheus
- Envoy
gibi projeler, dünya genelinde milyonlarca sistem tarafından kullanılıyor. Bugün birçok banka, teknoloji şirketi, e-ticaret platformu ve kamu kurumu altyapılarında bu projelerden yararlanıyor.
Bu nedenle açık kaynak geliştiricileri yalnızca kod yazan kişiler olarak görülmüyor. Onlar aynı zamanda kritik dijital altyapıların gelişiminde rol oynayan önemli aktörler olarak değerlendiriliyor.
Saldırganlar açısından bakıldığında ise bir geliştirici hesabının ele geçirilmesi, bazen doğrudan bir şirket ağına sızmaktan daha değerli olabiliyor. Çünkü geliştiriciler; kod depolarına, proje yönetim sistemlerine, CI/CD süreçlerine ve çeşitli erişim anahtarlarına sahip olabiliyor.
Bu da açık kaynak ekosistemini son yıllarda siber saldırganların öncelikli hedeflerinden biri haline getiriyor.
Slack Üzerinden Güven Kazanmaya Çalıştılar
Araştırmalara göre saldırganlar geliştiricilere doğrudan Slack üzerinden ulaştı.
Gönderilen mesajlarda genellikle:
- Özel proje daveti,
- Yeni bir yapay zekâ aracı,
- Erken erişim fırsatı,
- Gizli çalışma alanı daveti,
gibi dikkat çekici teklifler yer aldı.
Mesajların etkili olmasının en önemli nedeni ise kullanılan kimlik taklidi yöntemi oldu. Saldırganlar, açık kaynak topluluklarında tanınan ve güven duyulan bir kişinin kimliğini kullanarak kurbanların şüphe seviyesini düşürmeye çalıştı.
Sosyal mühendislik saldırılarının en tehlikeli yönlerinden biri de burada ortaya çıkıyor. Çünkü saldırganlar teknik sistemleri değil, insanların karar verme mekanizmalarını hedef alıyor. Birçok kullanıcı bilinmeyen bir bağlantıya tıklamadan önce iki kez düşünürken, aynı bağlantı tanıdığı veya güvendiği bir kişiden geldiğinde çok daha rahat hareket edebiliyor. İşte saldırganların yararlandığı nokta da tam olarak bu.
Son yıllarda yaşanan birçok büyük veri ihlalinde de benzer yöntemlerin kullanıldığı biliniyor. Bu nedenle güvenlik ekipleri artık yalnızca sistemleri değil, kullanıcı farkındalığını da savunmanın önemli bir parçası olarak görüyor.
Google Sites Üzerinden Kurulan Tuzak
Saldırının dikkat çeken detaylarından biri de Google Sites platformunun kullanılması oldu.
Kurbanlara gönderilen bağlantılar ilk bakışta oldukça güvenilir görünüyordu. Çünkü bağlantılarda "google.com" alan adının bulunması birçok kişinin bağlantıyı sorgulamadan açmasına neden olabilecek bir detaydı.
Ancak bağlantıya tıklayan kullanıcılar, gerçeğine oldukça benzeyen sahte bir Google Workspace giriş ekranına yönlendiriliyordu.
Bu ekranda kullanıcılardan:
- Google hesap bilgileri,
- İki faktörlü doğrulama kodları,
- Güvenlik amacıyla bir sertifika yüklemeleri,
isteniyordu.
İşte saldırının en kritik noktası da burada başlıyor.
Sahte Sertifika ile Sisteme Sızmaya Çalıştılar
Kullanıcılara yükletilmeye çalışılan dosya aslında sahte bir kök sertifikaydı (Root Certificate).
Normal şartlarda kök sertifikalar, işletim sistemlerinin hangi bağlantılara güveneceğini belirleyen kritik güven mekanizmaları arasında yer alıyor. Ancak saldırganlar tarafından hazırlanan bir sertifikanın sisteme yüklenmesi ciddi güvenlik riskleri oluşturabiliyor.
Böyle bir durumda saldırganlar:
- Şifrelenmiş internet trafiğini izleyebilir,
- HTTPS bağlantılarını manipüle edebilir,
- Hesap bilgilerini ele geçirebilir,
- Kurumsal sistemlere erişmeye çalışabilir,
- Bazı senaryolarda cihaz üzerinde daha geniş yetkiler elde edebilir.
Bu nedenle işletim sistemi tarafından istenmeyen veya kaynağı doğrulanamayan sertifikaların yüklenmesi ciddi risk oluşturuyor.
Windows ve macOS Kullanıcıları da Hedefteydi
Paylaşılan bilgilere göre saldırı yalnızca tek bir işletim sistemini hedef almıyordu.
macOS kullanıcılarında sertifika sonrasında "gapi" isimli kötü amaçlı bir dosyanın indirildiği belirtilirken, Windows kullanıcılarına ise güvenilir sertifika yükleme ekranı gösteriliyordu.
Her iki senaryoda da amaç kullanıcıyı ikna ederek sisteme daha geniş erişim elde etmekti.
Bu durum saldırganların farklı platformlar için özel senaryolar hazırladığını ve operasyonu daha profesyonel şekilde yürüttüğünü gösteriyor.
Güvenilir Platformlar da Kötüye Kullanılabiliyor
Bu olay aynı zamanda saldırganların meşru platformları kötüye kullanma konusunda ne kadar yaratıcı hale geldiğini de ortaya koyuyor.
Geçmişte saldırganlar genellikle sahte alan adları veya kolay fark edilen internet siteleri kullanırken, günümüzde Google Sites, GitHub Pages ve benzeri güvenilir hizmetler üzerinden hazırlanan sayfalar daha sık görülmeye başladı.
Bu da kullanıcıların yalnızca alan adına bakarak bir sitenin güvenilir olup olmadığına karar vermesini zorlaştırıyor.
Çünkü bağlantı teknik olarak güvenilir bir servis üzerinde barındırılıyor olsa bile içerik tamamen saldırganlar tarafından hazırlanmış olabiliyor.
Açık Kaynak Geliştiricilerine Yönelik Saldırılar Artıyor
Son dönemde açık kaynak projelerini hedef alan saldırılarda dikkat çekici bir artış yaşanıyor.
Daha önce gündeme gelen Trivy, Axios npm ve LiteLLM vakaları da saldırganların yalnızca yazılımları değil, geliştirme süreçlerini ve geliştiricileri hedef aldığını göstermişti.
Özellikle:
- Slack,
- Discord,
- GitHub,
- Telegram,
gibi platformlar üzerinden yürütülen sosyal mühendislik kampanyaları günümüzün en yaygın tehditlerinden biri haline gelmiş durumda. Siber güvenlik dünyasında artık "insan faktörü" en az teknik güvenlik önlemleri kadar önemli kabul ediliyor.
Google'dan Açıklama Geldi
Olayın ardından Google da bir açıklama yayımladı.
Şirket, yaşanan durumun Google Workspace servislerinde bulunan bir güvenlik açığından kaynaklanmadığını, yalnızca Google Sites hizmetinin kötüye kullanıldığını belirtti. Ayrıca tespit edilen kimlik avı sayfalarının kaldırıldığı açıklandı.
Google, gerçek servislerinin hiçbir zaman kullanıcılardan manuel olarak root certificate yüklemelerini istemeyeceğini de özellikle vurguladı.
Dikkat Edilmesi Gerekenler
Bu tür saldırılara karşı özellikle Slack, Discord ve benzeri platformlar üzerinden gelen bağlantıların dikkatli şekilde değerlendirilmesi gerekiyor.
Güvenilir görünen kişilerden gelen mesajlar bile mümkünse farklı bir kanal üzerinden doğrulanmalı, kaynağı bilinmeyen sertifikalar sisteme yüklenmemeli ve çok faktörlü kimlik doğrulama aktif olarak kullanılmalı.
Bu olay, siber suçluların artık yalnızca güvenlik açıklarının peşinde olmadığını gösteriyor. Güven ilişkileri, topluluklar ve insan faktörü de saldırı yüzeyinin önemli bir parçası haline gelmiş durumda.
Açık kaynak dünyasını hedef alan bu son kampanya ise dijital çağda en değerli varlığın yalnızca teknoloji değil, güven olduğunu bir kez daha hatırlatıyor.