OpenAI Codex kullanıcılarını hedef alan zararlı npm paketi, kimlik doğrulama belirteçlerini çalarak hesaplara izinsiz erişim sağlıyor.
Yazılım geliştiriciler tarafından kullanılan OpenAI Codex platformuna yönelik yeni bir tedarik zinciri saldırısı ortaya çıkarıldı. npm platformu üzerinden dağıtılan ve oldukça popüler olan bir araç, kullanıcıların kimlik bilgilerini çalmak için kullanılıyor.
Codex, kod yazma, hata ayıklama ve test süreçlerinde geliştiricilere yardımcı olan bir yazılım mühendisliği aracı olarak biliniyor. Bu platforma yönelik saldırı, hem GitHub hem de npm üzerinde yayınlanan codexui-android isimli bir araç üzerinden gerçekleştiriliyor.
Zararlı yazılımın çalışma prensibi
Uzaktan web kullanıcı arayüzü olarak tanıtılan codexui-android, 29.000’den fazla haftalık indirme sayısına ulaşarak dikkat çekti. Aracın GitHub üzerindeki kaynak kodları temiz görünürken, npm üzerinden yayınlanan güncelleme ile sisteme bilgi çalan zararlı kodlar eklendi.
Geliştiriciler bu aracı çalıştırdıklarında, uygulama arka planda Codex kimlik doğrulama belirteçlerini arıyor. Tespit edilen bu belirteçler, saldırganların kontrolündeki bir sunucuya otomatik olarak gönderiliyor.
Aikido Security araştırmacısı Charlie Eriksen, özellikle süresi dolmayan yenileme belirteçlerinin büyük bir risk oluşturduğunu belirtiyor. Bu belirteçleri ele geçiren saldırganlar, şifreye ihtiyaç duymadan uzun süreli erişim sağlayabiliyor.
Saldırganlar, çalınan bu belirteçler sayesinde kurbanların OpenAI hesaplarına sızabiliyor. API kredilerinin harcanması, özel projelerin görüntülenmesi ve kurbanın kimliğine bürünerek OpenAI servisleriyle etkileşime geçilmesi gibi tehlikeli durumlar ortaya çıkabiliyor.
Android uygulamalarında da benzer tehditler
Aikido Security tarafından yapılan incelemelerde, aynı hesap tarafından yayınlanan iki farklı Android uygulaması da tespit edildi. Bu uygulamaların da Codex kullanıcılarını hedef aldığı ve benzer yöntemlerle kimlik bilgilerini çaldığı belirlendi.
OpenClaw Codex Claude AI Agent isimli uygulama 50.000’den fazla indirme sayısına ulaşırken, Codex isimli diğer uygulama ise 10.000’in üzerinde indirme aldı. Bu uygulamalar, npm paketini bir PRoot sanal ortamında çalıştırarak verileri saldırganların sunucusuna iletiyor.
Uzmanlar, bu tür araçların kullanımında dikkatli olunması gerektiğini vurguluyor. Sizce yazılım geliştirme araçlarını indirirken güvenlik önlemleri yeterince alınıyor mu?
