Kuzey Koreli Sapphire Sleet, Mastra AI Tedarik Zincirini Hedef Aldı

Microsoft'un siber güvenlik araştırma ekibi, Kuzey Kore devlet destekli bilgisayar korsanlığı grubu Sapphire Sleet'in (diğer adıyla BlueNoroff), popüler Mastra AI framework'ünün npm ekosisteminde yer alan 144 paketini ele geçiren sofistike bir tedarik zinciri saldırısı gerçekleştirdiğini "yüksek güvenle" doğruladı. Saldırı, açık kaynak yazılım ekosistemine yönelik son dönemin en kapsamlı ve hızlı operasyonlarından biri olarak kayıtlara geçti.

Saldırının teknik boyutu incelendiğinde, Sapphire Sleet grubunun yalnızca 88 dakika içinde 144 farklı npm paketinin bakımını üstlenmeyi başardığı ortaya çıktı. Bu son derece kısa sürede gerçekleştirilen ele geçirme operasyonu, grubun npm kayıt sistemindeki güvenlik açıklarını veya hesap devralma mekanizmalarını ne denli iyi analiz ettiğini gözler önüne seriyor. Ele geçirilen paketler arasında, Mastra AI framework'ünün temel bağımlılıklarından biri olan "easy-day-js" adlı zararlı bileşen enjekte edildi.

Zararlı Bağımlılık ve Hedeflenen Varlıklar

Enjekte edilen zararlı kod, geliştiricilerin yerel geliştirme ortamlarında çalışan uygulamalardan kripto para cüzdan bilgilerini, özel anahtarları ve çeşitli kimlik bilgilerini (credentials) sızdırmak üzere tasarlandı. easy-day-js paketi, meşru bir yardımcı kütüphane gibi görünmesine rağmen, arka planda hassas verileri toplayan ve Sapphire Sleet'in kontrolündeki sunuculara ileten bir truva atı (trojan) işlevi görüyordu. Bu tür typosquatting ve bağımlılık karıştırma (dependency confusion) teknikleri, Kuzey Kore destekli grupların imza niteliğindeki saldırı vektörleri arasında yer alıyor.

Mastra AI framework'ü, özellikle yapay zeka destekli uygulama geliştiren ekipler arasında yaygın kullanılan, ajan tabanlı (agentic) sistemler için tasarlanmış modern bir araç seti olarak biliniyor. Bu nedenle saldırının potansiyel etki alanı son derece geniş; framework'ü kullanan binlerce geliştirici ve kuruluş, farkında olmadan zararlı kodu projelerine entegre etmiş olabilir. Microsoft araştırmacıları, etkilenen paketlerin indirilme sayısının ve bağımlılık zincirlerinin hızla haritalandırılması için acil bildirimler yayınladı.

Sapphire Sleet'in Stratejik Hedefi

Sapphire Sleet, uzun süredir finansal motivasyonla hareket eden ve özellikle kripto para sektörünü hedefleyen bir Kuzey Kore APT (Advanced Persistent Threat) grubu olarak tanınıyor. Microsoft Threat Intelligence Center'ın raporuna göre, grup son bir yıl içinde tedarik zinciri saldırılarına ağırlık vererek, açık kaynak ekosistemindeki güven açıklarını istismar etmeye yönelik kapasitesini önemli ölçüde artırdı. 88 dakikalık bu rekor süreli operasyon, grubun operasyonel olgunluğunun (operational maturity) yeni bir seviyeye ulaştığını gösteriyor.

Geliştiriciler ve Kuruluşlar İçin Acil Eylem Planı

Microsoft, geliştiricilere ve kurumsal güvenlik ekiplerine yönelik bir dizi acil önlem listesi yayınladı. Öncelikli adımlar arasında easy-day-js paketinin ve onu bağımlılık olarak içeren tüm projelerin derhal denetlenmesi, kilitli dosya (lockfile) kayıtlarının kontrol edilmesi ve npm tokenlarının rotasyonu yer alıyor. Kuruluşların, Mastra AI framework'ünü kullanan projelerde npm audit ve SBOM (Software Bill of Materials) taramaları yapması, şüpheli ağ trafiği için EDR ve ağ izleme sistemlerinin gözden geçirilmesi kritik önem taşıyor.

Bu olay, yapay zeka ekosisteminin tedarik zinciri güvenliğinde ciddi zafiyetler bulunduğunu bir kez daha ortaya koydu. Açık kaynak paketlerin güvenliğinin sağlanması, özellikle AI framework'lerinin hızla büyüdüğü bu dönemde, yalnızca bireysel geliştiricilerin değil, tüm yazılım endüstrisinin ortak sorumluluğu haline geldi. Microsoft'un bu saldırıyı erken tespit edip kamuoyuyla paylaşması, sektör genelinde farkındalığın artırılması açısından önemli bir adım olarak değerlendiriliyor.