Microsoft’un Açık Kaynak Projelerinde Şifre Hırsızlığı İddiası

Microsoft, GitHub üzerinde barındırdığı onlarca açık kaynak projesine erişimi geçici olarak kesti. Şirket, projelere sızan saldırganların kodlara şifre çalan kötü amaçlı yazılım yerleştirmiş olabileceğini araştırıyor.

Gelişme, Azure ile bağlantılı araçları ve Claude Code, Gemini’nin komut satırı arayüzü ile VS Code gibi yapay zekâ destekli geliştirme uygulamalarını kullanan geliştiricileri yakından ilgilendiriyor. Cloudsmith ve topluluk odaklı kötü amaçlı yazılım analiz sitesi OpenSourceMalware, saldırıyı ilk işaret eden isimler arasında yer aldı.

Microsoft bazı depoları geçici olarak kaldırdı

Microsoft sözcüsü Ben Hope, bazı depoların Potansiyel kötü amaçlı içerik İncelemesi kapsamında geçici olarak kaldırıldığını söyledi. Hope, bazı depoların inceleme sonrası yeniden açıldığını, bazılarının ise çalışmalar sürerken çevrimdışı kalabileceğini belirtti.

Şirket ayrıca, etkilenen depolardan içerik indirmiş olabilecek az sayıda müşteriye bildirim gönderildiğini açıkladı. Microsoft, kaç müşterinin etkilendiğine ilişkin soruya ise net bir sayı vermedi.

GitHub’da en az 70 proje devre dışı bırakıldı

GitHub’da proje sayfalarına erişmeye çalışan kullanıcılar, en az 70 Microsoft projesinin devre dışı bırakıldığına dair bir mesajla karşılaşıyor. Mesajda, “Bu depoya erişim, GitHub personeli tarafından hizmet şartlarının ihlali nedeniyle devre dışı bırakıldı” İfadesi yer alıyor.

Saldırının, kullanıcıların bilgisayarlarında yüklü kodlar üzerinden çok sayıda kişiyi hedef alan bir Tedarik zinciri saldırısı Olduğu değerlendiriliyor. Bu tür saldırılar, yaygın kullanılan yazılımlara zararlı kod eklenmesi nedeniyle geniş etki alanı oluşturabiliyor.

Microsoft’un son haftalardaki ikinci açık kaynak ihlali

Ars Technica’ya göre bu olay, Microsoft’un son haftalarda açık kaynak projelerini etkileyen ikinci bilinen ihlali oldu. Mayıs ortasında güvenlik araştırmacıları, geliştiricilerin uygulama oluşturmasına yardımcı olan Durable Task Projesinin de saldırıya uğradığını açıklamıştı.

OpenSourceMalware, son olayın Durable Task projesinin “yeniden ele geçirilmesi” Olabileceğini belirtti. Bu değerlendirme, ilk müdahalenin saldırganları tamamen durdurmamış olabileceği ya da yeni ve ayrı bir ihlalin yaşanmış olabileceği ihtimalini gündeme getirdi.

Geliştiriciler için ne anlama geliyor?

Microsoft’un GitHub depolarına yönelik incelemesi, açık kaynak projelerinde güvenlik riskini yeniden öne çıkardı. Özellikle AI destekli geliştirme araçlarıyla çalışan kullanıcılar, paket ve depo güvenliğini daha dikkatli takip ediyor.