Yazılım geliştiriciler tarafından kullanılan OpenAI Codex platformuna yönelik yeni bir tedarik zinciri saldırısı ortaya çıkarıldı. npm platformu üzerinden dağıtılan ve epeyce tanınan olan bir araç, kullanıcıların kimlik bilgilerini çalmak için kullanılıyor.

Codex, kod yazma, kusur ayıklama ve test süreçlerinde geliştiricilere yardımcı olan bir yazılım mühendisliği aracı olarak biliniyor. Bu platforma yönelik akın, hem GitHub hem de npm üzerinde yayınlanan codexui-android isimli bir araç üzerinden gerçekleştiriliyor.

Zararlı yazılımın çalışma prensibi

Uzaktan web kullanıcı arayüzü olarak tanıtılan codexui-android, 29.000’den fazla haftalık indirme sayısına ulaşarak dikkat çekti. Aracın GitHub üzerindeki kaynak kodları pak görünürken, npm üzerinden yayınlanan güncelleme ile sisteme bilgi çalan ziyanlı kodlar eklendi.

Geliştiriciler bu aracı çalıştırdıklarında, uygulama art planda Codex kimlik doğrulama belirteçlerini arıyor. Tespit edilen bu belirteçler, saldırganların denetimindeki bir sunucuya otomatik olarak gönderiliyor.

Aikido Security araştırmacısı Charlie Eriksen, bilhassa mühleti dolmayan yenileme belirteçlerinin büyük bir risk oluşturduğunu belirtiyor. Bu belirteçleri ele geçiren saldırganlar, şifreye muhtaçlık duymadan uzun müddetli erişim sağlayabiliyor.

Saldırganlar, çalınan bu belirteçler sayesinde kurbanların OpenAI hesaplarına sızabiliyor. API kredilerinin harcanması, özel projelerin görüntülenmesi ve kurbanın kimliğine bürünerek OpenAI servisleriyle etkileşime geçilmesi üzere tehlikeli durumlar ortaya çıkabiliyor.

Android uygulamalarında da misal tehditler

Aikido Security tarafından yapılan incelemelerde, tıpkı hesap tarafından yayınlanan iki farklı Android uygulaması da tespit edildi. Bu uygulamaların da Codex kullanıcılarını maksat aldığı ve benzeri tekniklerle kimlik bilgilerini çaldığı belirlendi.

OpenClaw Codex Claude AI Agent isimli uygulama 50.000’den fazla indirme sayısına ulaşırken, Codex isimli başka uygulama ise 10.000’in üzerinde indirme aldı. Bu uygulamalar, npm paketini bir PRoot sanal ortamında çalıştırarak bilgileri saldırganların sunucusuna iletiyor.

Uzmanlar, bu tıp araçların kullanımında dikkatli olunması gerektiğini vurguluyor. Sizce yazılım geliştirme araçlarını indirirken güvenlik tedbirleri gereğince alınıyor mu?

Kaynak: Shiftdelete