Kötü amaçlı Nx npm paketlerinin yapay zekâ kodlama araçlarını veri toplama ve sızdırma amacıyla kullandığı bildirildi

Nx geliştirme ekibi, 26 Ağustos 2025 tarihinde Nx ve bazı ilişkili eklentilerin kötü amaçlı sürümlerinin npm yazılım deposunda yayımlandığını açıkladı. “S1ngularity” olarak adlandırılan tedarik zinciri saldırısında tehdit aktörleri, Nx projesinin GitHub Actions iş akışındaki komut enjeksiyonu zafiyetinden yararlanarak npm yayımlama belirtecini ele geçirdi. Bu belirteç, normal sürüm hattı atlanarak zararlı paketlerin yayımlanmasında kullanıldı. İlk kayıtta belirtilen 21 Ağustos tarihi, saldırının gerçekleştiği tarih değil, güvenlik açığı içeren kod değişikliğinin projeye eklendiği tarihtir.

Zararlı paketler yaklaşık dört ila beş saat boyunca erişilebilir kaldı. Paketler kurulduğunda çalışan bir postinstall betiği, Linux ve macOS sistemlerinde dosyaları, ortam değişkenlerini ve kimlik bilgilerini aradı. Toplanan veriler arasında GitHub ve npm belirteçleri, SSH anahtarları, yapılandırma dosyaları ve kripto para cüzdanlarıyla ilişkili olabilecek bilgiler bulunuyordu. Veriler, mağdurun GitHub hesabı kullanılarak “s1ngularity-repository” ifadesini içeren ve başlangıçta herkese açık olan depolara kodlanmış biçimde aktarıldı.

Zararlı kodun ayırt edici yönlerinden biri, sistemde kurulu olması hâlinde Claude, Gemini ve Amazon Q gibi yapay zekâ destekli kodlama araçlarının komut satırı sürümlerini çalıştırmaya teşebbüs etmesiydi. Bu araçlar, kullanıcı onaylarını veya güvenlik kontrollerini azaltan parametrelerle başlatılarak dosya sisteminde hassas bilgilerin aranması için kullanıldı. Bununla birlikte veri toplama işlemi yalnızca yapay zekâ araçlarına bağlı değildi; zararlı betik, bu araçlar bulunmadığında geleneksel dosya tarama yöntemlerini de kullanabiliyordu. Bu nedenle yapay zekâ sistemleri saldırıyı başlatan veya bağımsız karar veren aktörler değil, saldırgan tarafından ele geçirilmiş süreç içinde yardımcı keşif araçları olarak kullanıldı.

Nx’in resmî açıklamasına göre saldırganlar npm yayımlama belirtecini ele geçirerek birden fazla Nx paketinin kötü amaçlı sürümlerini yayımladı. Güvenlik bildiriminde zararlı sürümlerin kaldırıldığı, npm belirteçlerinin iptal edildiği, Trusted Publishers sistemine geçildiği ve sürümlerde ek insan onayı uygulanmaya başlandığı belirtildi. GitHub da veri sızdırmak için oluşturulan depoları devre dışı bırakma veya arşivleme çalışmaları yürüttü.

Kamuya açık kaynaklarda saldırıdan etkilenen kesin kullanıcı ve cihaz sayısı doğrulanmadı. Bazı araştırmacılar binden fazla sistemden veri gönderildiğini tahmin etmekle birlikte Nx’in resmî