AsyncAPI'nin yayın hattı ele geçirildi, dört npm paketine uzaktan erişim truva atı eklendi

Olay güdümlü API'ler için yaygın biçimde kullanılan AsyncAPI projesi, 14 Temmuz 2026'da tedarik zinciri saldırısına uğradı. Saldırganlar projenin GitHub üzerindeki sürekli entegrasyon hattını ele geçirerek @asyncapi ad alanı altında zararlı npm sürümleri yayımladı.

Etkilenen paketler

Datadog Security Labs'in analizine göre şu sürümler kötü amaçlı kod içeriyor:

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

• @asyncapi/generator 3.3.1
• @asyncapi/generator-components 0.7.1
• @asyncapi/generator-helpers 1.1.1
• @asyncapi/specs 6.11.2 ve 6.11.2-alpha.1

Bildirilere göre zararlı sürümler aynı gün npm'den kaldırıldı; ancak önbellekler, konteyner katmanları ve kilit dosyaları bu sürümlere referans vermeye devam edebilir.

Kök neden: pull_request_target

Datadog'un zaman çizelgesine göre saldırgan, sabah saatlerinde sekiz hesaptan açılan 36 adet "bağış dosyası ekle" başlıklı spam pull request'in arasına zararlı bir PR gizledi. Projenin dokümantasyon önizleme iş akışı pull_request_target tetikleyicisini kullandığı için PR'daki kod, bakımcı onayı olmadan sır erişimine sahip bir ortamda çalıştı. Saldırgan bu yolla yayın botunun GitHub token'ını ele geçirdi, zararlı commit'leri depoya itti ve normal yayın hattı paketi npm'e gönderdi.

Bu nedenle paketler, projenin yetkili iş akışlarından çıktığı için geçerli kaynak doğrulama (provenance) bilgisi taşıyordu. Phoenix Security, bu sınıftaki zayıflığı kapatacak bir hardening PR'ının saldırı sırasında henüz birleştirilmemiş olduğunu aktarıyor.

Zararlının davranışı

Gizlenmiş kod, arka planda bir Node.js süreci başlatıp ikinci aşamayı IPFS üzerinden indiriyor. Bu aşama bulut kimlik bilgilerini, paket kayıt defteri token'larını ve sohbet platformu sırlarını topluyor; .vscode/tasks.json ve .claude/settings.json dosyalarına iş akışı enjekte ederek kalıcılık sağlıyor. Birincil sunucular erişilemezse Nostr röleleri ve eşler arası ağlar yedek kanal olarak kullanılıyor. Araştırmacılar zararlıyı daha geniş Miasma kampanyasıyla ilişkilendiriyor.

Ne yapılmalı?

• Kilit dosyalarında ve npm ls çıktısında yukarıdaki sürümleri arayın.
• sync.js dosyaları ve geliştirme ortamı yapılandırmalarına eklenmiş beklenmedik görevler için tehdit avı yapın.
• Etkilenen sistemlerde bulut, npm, GitHub ve sohbet platformu kimlik bilgilerini değiştirin.
• Bakımcıysanız pull_request_target kullanan iş akışlarını gözden geçirin, bot token'larını yenileyin.