846 Zararlı npm Paketi: Flooding Dropper Kampanyası Neden Scraping Ekipleri İçin Tehlikeli?

```html

5 Ağustos 2026 tarihinde Sonatype araştırmacıları, Flooding Dropper adı verilen npm kampanyasını kaydetti: onlarca tek kullanımlık hesapla yayımlanan 846 kötü amaçlı bileşen. Bir hafta içinde sayı arttı — OpenSourceMalware'de, aynı kampanyayı WEL1DROPPER adıyla takip eden güncellenmiş verilere göre 1033 onaylı paket yer alıyor. İçinde, Windows, macOS ve Linux altında ikinci aşamayı çeken çok platformlu bir yükleyici var ve geliştiricinin makinesinden erişebildiği her şeyi temizliyor: ortam değişkenleri, kimlik bilgileri, oturumlar.

Veri toplama ve otomasyonla uğraşan ekipler için bu, "npm hakkında başka bir haber" değil. Scraping yığını tam olarak npm'dir: Playwright, Puppeteer, Crawlee, proxy ajanlarının sarmalayıcıları, HTML ayrıştırıcıları, kuyruklar. Ve bu her şeyin tek bir ekip tarafından kurulduğu makinede genellikle .env dosyası, proxy havuzunun kullanıcı adı ve şifresi, oturum çerezleri ve anti-detect tarayıcı profilleri bulunur. Ne olduğunu ve bunun pratikte ne anlama geldiğini inceleyelim.

Kampanya hakkında bilinenler

Sonatype, sonatype-2026-005660 kimlik numarasıyla CVSS 8.7 puanına ve CWE-506 (yerleştirilmiş kötü amaçlı kod) sınıflandırmasına sahip bir kampanya yürütüyor. Araştırmacıların paketleri bir grup halinde birleştirdiği belirgin özellikler:

• Otomatik isim üretimi. İsimler, tekrar eden terimlerin interpolasyonu ile toplanıyor — raporda "bigops" ve "bnpl" gibi örnekler, bigops-api ve dolyame-boxy-desktop-bnpl-card-gallery gibi uzun birleştirmeler yer alıyor. OpenSourceMalware bunu "AI slop squatting" olarak tanımlıyor — tek bir popüler pakete düzgün bir şekilde taklit etmek yerine rastgele üretilmiş isimlerle kitlesel bir tür taklit.
• Tek bir aralıkta sürümler. Yayınlar 35.x.y etrafında toplanıyor — geçmişi olmayan paketler için alışılmadık derecede yüksek numaralar.
• Hesaplar arasında yayılma. Her hesap küçük bir grup paket yayımlıyor, bu nedenle bir yayıncının engellenmesi operasyonu durdurmuyor.

Başlatma mekaniği farklı şekillerde tanımlanıyor ve bu fark önemlidir. Sonatype, kodun paketin "kurulumu veya içe aktarımı sırasında" tetiklendiğini yazıyor. OpenSourceMalware ise belirtir: bazı örnekler klasik yaşam döngüsü kancalarını atlıyor ve geliştiricinin paketi require() ile kendisinin bağlamasını gerektiriyor. Pratik sonuç: sadece --ignore-scripts seçeneğine güvenmek sizi kurtarmaz — eğer bağımlılık gerçekten koda içe aktarılıyorsa, yük çalışacaktır.

İkinci aşama nasıl teslim ediliyor

Yükleyici, gizli bir listeden rastgele bir ana bilgisayardan HTTPS üzerinden yükü çekiyor — The Hacker News'a göre, teslim noktaları Cloudflare Workers üzerinde üç alan adıydı. Doğrudan indirme başarısız olursa, yedek kanal devreye giriyor: yük, wel1.ru alan adının platform alt alanlarından DNS TXT kayıtları aracılığıyla toplanıyor (sdk.dl, ext.dl, pkg.dl, net.dl). Yani, HTTP alan adları üzerindeki çıkış filtresi, sıradan DNS sorguları ile aşılmış oluyor — bunlar kurumsal ağda çok az kesiliyor.

Sonra platformlara göre:

• Windows: ETW ve AMSI yamalanıyor (yani telemetri ve betiklerin antivirüs taraması devre dışı bırakılıyor), kayıt defterinde otomatik başlatma anahtarları ve görev zamanlayıcısı aracılığıyla sabitleniyor, AppData'da dosyalar bulunuyor.
• macOS: aynı kaçış yöntemleri, LaunchAgent aracılığıyla sabitleniyor. macOS yükünde araştırmacılar, Rus finans hizmetlerine ait alan adları (tcsbank.ru, cloudpayments.ru) buldular — bu, Rusça konuşan kullanıcıların banka oturumlarına yönelik hedefli bir ilgi belirtisi.
• Linux: UPX ile paketlenmiş ELF ikili dosyası, Sliver çerçevesinin ajanını açıyor — bu artık tek seferlik bir hırsızlık değil, tam bir C2 kanalı.

Artı standart set: kum havuzu ve hata ayıklayıcı kontrolü, mimari belirleme, ortam değişkenlerini okuma, kapatıldığında hayatta kalan arka plan süreçleri (terminal kapatıldığında devam eder) ve yükü belleğe yansıtma, böylece diskte dosya bırakmama.

Neden bu, veri toplama ekiplerine zarar veriyor

Bilgi hırsızı "önemli" ve "önemsiz" ayrımı yapmıyor — gizli olan her şeyi alıyor. Normal bir kullanıcı için bu, tarayıcıdan şifreler ve kripto cüzdanıdır. Veri toplama ile uğraşan bir kişi için ganimet seti farklı ve açıkçası daha lezzetli:

• Ortam değişkenleri ve .env — burada neredeyse her zaman proxy geçidinin ana bilgisayarı, kullanıcı adı, şifre ve oturum parametreleri (ülke, şehir, yapışkan kimlik). Ortam değişkenlerinin dışarı sızdırılması, kampanya incelemesinde açıkça belirtilmiştir.
• Çerezler ve oturum token'ları. Çalınan bir oturum — MFA'yı aşmak demektir: çerez, ikinci kontrolün zaten geçildiğine dair bir kanıt olarak kabul edilir. Geçerli token'lar içeren günlükler, karanlık pazarlarda 5 dolardan satılmaktadır.
• Anti-detect tarayıcı profilleri — "çerez + parmak izi + proxy" kombinasyonu, yani ısıtma gerektirmeyen hazır bir çalışma hesabı.
• CI/CD, npm ve bulut token'ları — sadece makinenize değil, aynı zamanda sizin derlemelerinizi gönderebileceğiniz pipeline'a da erişim.

Olayın ölçeği niş olmaktan çıkmıştır. SpyCloud, 2026 raporunda 18,1 milyon ifşa edilmiş API anahtarı ve token kaydetti, bunlar tam olarak kötü amaçlı yazılım günlüklerinden elde edildi. Recorded Future ve Flashpoint verilerine göre, 2025 yılı boyunca bilgi hırsızları 11,1 milyon makineyi enfekte etti ve 3,3 milyar çalınmış hesap sağladı. Ve Sonatype'ın 2026 yazılım tedarik zinciri durumu raporunda, yalnızca 2025 yılında 454.600'den fazla yeni kötü amaçlı paket ve toplamda 1.233 milyonun üzerinde engellenmiş paket yer alıyor — yıllık %75'lik bir artış. Flooding Dropper, bir anomali değil, sıradan bir olaydır.

Proxy hesabı sahibinin kaybı nedir

Proxy ile çalışanların genellikle yazmadığı, güvenlik incelemelerinde ayrı olarak belirtmek istediğim bir konu var. Sızan proxy kimlik bilgileri, "şifrenin kaybı" değil, üç sorun birden demektir:

1. Ödenen trafik. Konut ve mobil trafik gigabayt başına ücretlendirilir. Başkalarının proxy kimlik bilgileriyle çalışan bir tarayıcı, sizin hesabınızdan para harcamanıza neden olur ve bunu fark etmek istediğinizden çok daha geç olabilir.
2. IP'nizdeki başkalarının itibarı. Saldırganın "temiz" bir konut çıkışına ihtiyacı var, böylece etkinliği sıradan bir ev kullanıcısı gibi görünür. Hedef alanlarınız, sizin oturumunuzda şüpheli davranış görecek — ve yıllardır ısıttığınız hesaplarınızda yasaklar gelecektir.
3. Sağlayıcı ile anlaşmazlık. Herhangi bir normal sağlayıcı açısından trafik sizin hesabınızdan geliyordu ve açıklama yapmak zorunda kalacaksınız.

Ne yapmalı: pratik minimum

1. Ortamları ayırın. Scraping yığını bir konteyner veya ayrı bir VM'ye kurulmalıdır — kişisel çerezlerinizin, iş e-postanızın ve üretim token'larınızın bulunduğu makineye değil. Bu, henüz kimsenin bilmediği bir paket karşısında bile işe yarayan tek önlemdir.
2. Proxy kimlik bilgilerini .env dosyasından kodun yanına kaldırın. Gizli bilgiler, bir gizli yöneticiye veya çalıştırıcının ortam değişkenlerine yerleştirilmelidir, proje kökünde bulunan ve herhangi bir içe aktarılan modül tarafından okunabilen bir dosyaya değil.
3. Varsa IP ile kimlik doğrulamayı etkinleştirin. Sunucunuza erişimi bağlamak, çalınan kullanıcı adı/şifre çiftinin değerini düşürür: başkasının adresinden çalışmaz. Bunun nasıl yapıldığı ve hangi senaryolar için uygun olduğu, proxy için IP adreslerinin beyaz listesi konusundaki makalede incelenmiştir. Erişimlerin güvenli bir şekilde saklanmasına dair genel kurallar ise proxy kimlik bilgilerini güvenli saklama kılavuzunda bulunmaktadır.
4. Her proje için ayrı alt kimlik bilgileri ve trafik limitleri belirleyin. Her betik için kendi erişim bilgileri ve gigabayt başına bir üst sınır varsa, birinin sızması tüm bakiyeyi sızdırmaz ve dakikalar içinde sınırlı kalır.
5. Tüketimi izleyin. Görevlerde bir artış olmadan GB tüketiminde ani bir artış — sahip olduğunuz en erken ve en ucuz ihlal tespit cihazıdır.
6. Bağımlılık disiplinine dikkat edin. npm ci yerine lock dosyasına göre, yeni sürümler için karantina (7-14 gün), paket yaşı ve yayıncı geçmişinin kontrolü, izinli liste ile dahili ayna. 35.x.y sürümünde, sıfır geçmişe sahip ve birleştirilmiş kelimelerden oluşan bir isimle karşılaştığınızda durmanız için bir neden vardır, yüklememeniz için değil.

Artık yakalandığınızı düşünüyorsanız

Sonatype'ın buradaki önerileri son derece spesifiktir ve sıralama önemlidir: ana bilgisayarı tamamen tehlikeye atılmış olarak kabul edin; tanımlanan sabitleme mekanizmalarını arayın (Windows'ta otomatik başlatma anahtarları ve görev zamanlayıcıları, macOS'ta LaunchAgent); kimlik bilgilerini döndürün — npm, GitHub, bulut, CI/CD — temizlikten sonra, yoksa yeni gizli bilgiler aynı yoldan gidecektir; lock dosyalarını, bağımlılık önbelleklerini ve dahili aynaları kontrol edin, kaydedilmiş kopyalara bakın; yeniden kurulumdan önce paket isimlerini harf harf kontrol edin.

Bu listeye kendi eklemelerinizi yapın: proxy erişim şifrelerinin değiştirilmesi, anti-detect tarayıcıda aktif oturumların iptal edilmesi ve son iki haftada trafik tüketim geçmişinin kontrol edilmesi. Eğer trafik gigabayt başına satın alınıyorsa — konut veya mobil proxy — tüketim raporu sizin erişim günlüğünüzdür.

Sonuç

Flooding Dropper, karmaşıklığı değil, ekonomisi ile ilgi çekiyor: binlerce tek kullanımlık paket, üretilmiş isimler, toplu hesaplar — bu, birinin gözünü kırpmadan bağımlılık yüklemesini bekleyen bir banttır. Bazı kampanyalar kayıt defterinden haftalarca temizlenebilir, ancak akış durmayacak: Sonatype'ın geçen yılki rakamları yanılsama bırakmıyor.

Veri toplayanlar için pratik sonuç basit. Geliştirici makinesi, tüm erişimlerin bir araya geldiği bir noktadır: proxy, hesaplar, oturumlar, pipeline. Yığını izole edin, erişimleri IP'ye bağlayın, kimlik bilgilerini projelere dağıtın ve trafik tüketim grafiğine bakın. Bu adımlardan hiçbiri, bir sonraki kampanyanın dizine eklenmesini beklemeyi gerektirmiyor.