Poisoned Ruby Gems ve Go Modülleri: Yazılım Tedarik Zinciri Hedefte

Son dönemde yazılım dünyasının başını ağrıtan Poisoned Ruby Gems ve Go modülleri üzerinden yapılan saldırılar, tedarik zinciri güvenliğinin ne kadar pamuk ipliğine bağlı olduğunu bir kez daha gösterdi. Bilindik ve güvenilir görünen modüllerin altına gizlenen zararlı kodlar, bu ekosistemde çalışan binlerce geliştiriciyi ve otomatik iş akışlarını doğrudan hedef alıyor.

Yazılım tedarik zinciri neden bu kadar kırılgan?

Modern yazılım geliştirme pratikleri hız ve esneklik üzerine kurulu. Projeler, güncel tutmak için onlarca hatta yüzlerce harici kütüphane, modül ve araç kullanıyor. Ruby veya Go gibi popüler ekosistemlerde, “şu modülü ekle” demek çoğu zaman bir komut kadar basit. Peki bu kadar kolaylık, beraberinde ne risk getiriyor? Tedarik zinciri saldırılarının kökeni burada yatıyor. Saldırganlar, meşru paketlere benzer isimlerle zararlı modüller yayıyor ve ortamın otomatikliğinden faydalanıyor.

Poisoned Ruby Gems nasıl çalışıyor?

Kötü amaçlı Ruby Gems paketleri, projeye eklenir eklenmez harekete geçiyor. Ruby gem kurulumunda çalışan script’ler, ortam değişkenlerinden SSH anahtarlarına, AWS gibi bulut servislerinin erişim şifrelerinden .npmrc ve .netrc dosyalarına kadar ne bulursa topluyor. Çalınan veriler, saldırganın kontrolündeki bir Webhook[.]site adresine aktarılıyor. Tıpkı evinin anahtarını bilmediğin birine bırakmak gibi, kimsenin haberi olmadan tüm gizli dosyalar bir elin içine düşüyor.

Go modülleri ile CI/CD iş akışları nasıl manipüle ediliyor?

Go modüllerindeki saldırı vektörü daha da sinsi. Saldırganlar “init()” fonksiyonunu kullanarak, CI ortamında belirli değişkenler üzerinden sistemde arka kapı açıyor. GitHub Actions gibi otomatik iş akışlarında HTTP/HTTPS proxy ayarları değiştiriliyor, sahte bir “go” yürütülebilir dosyası sistem önbelleğine yazılıyor. Bu dosya, gerçek ikili dosyanın önüne geçerek işlemleri izlemek veya yönlendirmek için kullanılıyor. Küçük bir detay: Saldırganların SSH anahtarları yetkili anahtarlar listesine eklenerek, sistemde kalıcı uzaktan erişim sağlanıyor.

Tedarik zinciri saldırılarındaki yeni trend: Sleeper paketler

Sleeper paketler dediğimiz bu yöntem, tehlikeyi aylarca gizleyebiliyor. Zararlı kod hemen aktif olmak yerine “uykuda” bekliyor, uygun ortam bulunca ya da tetikleyici bir komut geldiğinde devreye giriyor. Bu da zararlının tespiti ve takibini neredeyse imkansız kılıyor. Yani, bakkaldan aldığın bir çikolatada, aylar sonra açılınca içinden bir not çıkması gibi: “Sürpriz, bilgisayarın bende!”

Geliştiriciler neden hedefte?

Siber güvenlik uzmanlarına göre, saldırganlar doğrudan son kullanıcıyı değil, yazılım üreticisinin en zayıf noktasını; yani geliştiriciyi ve CI/CD süreçlerini hedef alıyor. Çünkü bir geliştiricinin makinesine ya da otomatik iş akışına sızmak, zincirin tamamını zehirleyebiliyor. Özellikle açık kaynak paket dağıtımında güvenin kırılması, daha önce SolarWinds ve CodeCov gibi vakalarda gördüğümüz küresel çapta zarara yol açabiliyor.

Benzer geçmiş saldırılardan ne öğrendik?

Hatırlayanlar için, SolarWinds saldırısı son birkaç yılın en sarsıcı tedarik zinciri vakalarından biriydi. Yine zararlı kod, meşru bir güncelleme yoluyla binlerce kuruma yayıldı. Supply chain saldırılarında esas tehlike, bir küçük modül üzerinden tüm ekosisteme bulaşabilmesi. 2023’te de npm paketinde benzer kimlik bilgisi avı görülmüştü. Şimdi de Poisoned Ruby Gems ve Go modülleri, aynı yöntemi yeni ekosistemlerde sürdürüyor.

Risklerin boyutu: Rakamlar ve istatistikler

Sektörün deneyimli isimlerine göre, yazılım tedarik zinciri saldırılarında her yıl %200’e varan artışlar gözlemleniyor. 2025 yılında yapılan bir araştırmada, tedarik zinciri kaynaklı ihlaller yazılım projelerinin %34’ünü etkiledi. Özellikle otomatik CI/CD sistemlerine sızıldığında, zararın ölçeği ve yayılma hızı çok daha yüksek oluyor.

Zehirli Gems’lerdeki teknik ayrıntılar ve örnek vakalar

Poisoned Ruby Gems saldırılarının teknik yönleri, her geçen gün çeşitleniyor. Türkiye’de de Github ve Gitlab üzerinde yayınlanan kimi popüler açık kaynak projelerin dolaylı olarak zehirli Ruby Gems paketlerini barındırdığı saptandı. Örneğin, bir geliştirici “nokogiri” gibi sık kullanılan bir gem’e benzer isimli (“nokogirl” gibi) bir paket hazırlayarak, kolayca kullanıcıları kandırabiliyor. Benzer bir şekilde, “rails-config” yerine “rails_config” isimli bir gem yükleyen bir ekip, projesine arka kapı eklemiş olabilir. Burada en tehlikeli nokta, gem’in kurulumunda post_install veya extconf.rb dosyalarına gizlenen script’lerin sessizce zararlı işlemleri tetiklemesi.

Örnek bir vaka olarak, 2023 sonunda keşfedilen “fast_jsonapi” benzeri bir paket, yüklenir yüklenmez ortam değişkenlerinde arama yapıp bulduğu tüm AWS anahtarlarını saldırganın sunucusuna gönderdi. Bu gibi vakalar, özellikle Türkiye’de yeni startup’larda, güvenlik farkındalığı düşük ekiplerde yaygın olarak yaşanabiliyor.

Türk geliştiricilere özel: Pratik güvenlik önlemleri

• Kütüphane veya gem yüklemeden önce, paket ismini en az iki kez kontrol edin. Harf hatalarına ve taklit isimlere karşı uyanık olun.
• Paketin rubygems.org üzerindeki indirme sayısı ve son güncellenme tarihini gözden geçirin. Anlık popülerleşen veya uzun süre atıl kalan paketler alarm sebebidir.
• Kurumsal projelerinizde, harici kütüphane güncellemelerini kod inceleme (code review) sürecine dahil edin. Bir kişinin onayıyla asla paket eklemeyin.
• .env, .bashrc, .aws/credentials gibi kritik dosyaların erişim izinlerini sıkı tutun. Bu dosyaların okunabilirliğini minimize edin.
• Güncel bir antivirüs veya EDR (Endpoint Detection and Response) çözümüyle özellikle CI sunucularınızı koruyun.
• Kullandığınız Gem’lerin ve modüllerin Dependabot, Renovate ya da Snyk gibi araçlarla otomatik olarak taranmasını sağlayın.
• RubyGems ve PyPI gibi platformlarda yayın yapmak için iki faktörlü kimlik doğrulama (2FA) aktif edin.

Poisoned Ruby Gems ve benzeri saldırılarda tespit ve müdahale teknikleri

Saldırıları erken tespit etmek için belirli pratikler uygulanabilir. Örneğin, CI/CD pipeline’ında kurulum sonrası çalışan script’lerin loglarını periyodik olarak inceleyin. Ruby projelerinde Gemfile.lock dosyasındaki değişiklikleri küçük bir script ile kıyaslayıp otomatik bildirim alın.

Ayrıca, sisteminizde şüpheli outbound HTTP isteklerini yakalamak için ufak bir proxy “trap” kurabilirsiniz. Bir başka yöntem, CI makinelerinde sadece whitelisted (beyaz liste) edilen gem veya modüllerin kurulmasına izin vermektir.

Olası bir sızıntı tespit edildiğinde, acilen tüm API token, SSH anahtarı ve gizli anahtarlarınızı geçersiz kılın ve yenilerini üretin. Ek olarak, ekibinize sosyal mühendislik ve zararlı paket tespitiyle ilgili atölye çalışmaları düzenleyin.

Tedarik zinciri saldırılarına karşı topluluk tabanlı savunma

Yazılım ekosistemleri, saldırılara karşı bireysel önlemlerin yanı sıra, topluluk tabanlı işbirliğini de şart koşuyor. Poisoned Ruby Gems örneğinde olduğu gibi, bir geliştirici zararlı bir gem tespit ettiğinde bunu hemen RubyGems destek sistemine veya GitHub Advisory Database‘e bildirmeli.

Ayrıca, Stack Overflow, Twitter ve Slack kanalları gibi topluluk platformlarında şüpheli modül isimleri, zararlı davranışlar veya son saldırı trendleri hakkında aktif olarak bilgi paylaşımı yapılmalı. “Güven zinciri” mottosu, her halkada uygulanmalı: Bir ekipteki ihmal, tüm topluluğu tehdit edebilir.

DevOps ve güvenlik ekipleri için sürekli eğitim

Poisoned Ruby Gems ve benzeri supply chain atakları, sadece yazılım ekibinin değil, tüm DevOps ve bilgi güvenliği ekosisteminin ortak sorunu. Türkiye’deki şirketlerde, yazılım geliştiricilere yılda en az bir defa tedarik zinciri güvenliğiyle ilgili eğitim verilmesi kritik. Bunun için OWASP Dependency-Check, Snyk, Trivy gibi açık kaynak araçlarla pratik atölyeler düzenlenmeli. Ayrıca, sahte bir gem testi yaparak ekiplerin saldırı simülasyonlarına karşı refleks geliştirmesi sağlanabilir.

Yasal ve düzenleyici açıdan supply chain güvenliği

Avrupa Birliği’nin yürürlüğe aldığı NIS2 ve ABD’deki Executive Order on Cybersecurity gibi düzenlemeler, tedarik zinciri güvenliğini şirketler için yasal bir zorunluluk haline getirdi. Türkiye’de de KVKK ve kişisel veri yükümlülükleri kapsamında, Poisoned Ruby Gems gibi bir saldırıdan doğan veri sızıntısı ciddi yaptırımlara neden olabilir. Bu nedenle, şirketlerin harici modül ve gem kullanımında yasal uygunluk kontrollerini de süreçlerine dahil etmeleri gerekir.

Bu açığı kapatmak için ne yapmak gerekiyor?

Çözüm, birden fazla katmanda savunma inşa etmekten geçiyor. Şirketler ve açık kaynak geliştiricileri, modül kabul süreçlerini sıkılaştırmalı ve değişiklikleri otomatik olarak tarayan denetim araçlarını aktifleştirmeli. Saldırıya maruz kalan ortamlarda hızlıca anahtar ve şifre rotasyonu yapmak şart. Yazılım tedarik zinciri saldırıları, ne yazık ki “benim başıma gelmez” diyemeyeceğimiz kadar yaygın ve tehlikeli. Her yeni paket eklediğinizde, o kapıdan kimin girdiğini iki kere düşünün. Güvenlik, hızdan bir adım önde olmalı.

Özet ve ileriye bakış

Poisoned Ruby Gems ve benzeri supply chain saldırıları artık her yazılım geliştiricinin gündeminde olmalı. Otomasyonun kolaylaştırdığı modern yazılım dünyasında, bir paketle binlerce sistemi zehirlemek mümkün. Gerek bireysel, gerek kurumsal seviyede alınacak önlemlerle, bu riskleri minimuma indirgemek mümkün. Türk yazılım topluluğunun hem teknik hem toplumsal dayanışmasını güçlendirmesi, saldırganlara karşı en büyük kozumuz olacak.

Sıkça Sorulan Sorular