Daha yak\u0131n tarihli bir \u00f6rnek vermemiz gerekirse 26 Haizran 2022\u2019de ara\u015ft\u0131rmac\u0131lar\u0131m\u0131z a\u00e7\u0131k kaynakl\u0131 npm deposunda ortaya \u00e7\u0131kan, LofyLife ad\u0131n\u0131 verdikleri yeni bir tehdit ke\u015ffetti<\/a>.<\/p>\n A\u00e7\u0131k kaynakl\u0131 depolar\u0131 izlemek i\u00e7in dahili bir otomatik sistem kullanan ara\u015ft\u0131rmac\u0131lar\u0131m\u0131z k\u00f6t\u00fc ama\u00e7l\u0131 bir giri\u015fim olan LofyLife\u2019\u0131 tespit etti. Bu giri\u015fim, kurbanlardan Discord token\u2019lar\u0131 ve ba\u011fl\u0131 kredi kartlar\u0131n\u0131n bilgilerini de i\u00e7eren \u00e7e\u015fitli bilgiler toplamak ve s\u00fcre\u00e7 i\u00e7inde kurbanlar\u0131 g\u00f6zetlemek i\u00e7in npm deposunda Volt Stealer ve Lofy Stealer k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mlar\u0131n\u0131 yayn d\u00f6rt k\u00f6t\u00fc ama\u00e7l\u0131 paket kullan\u0131yordu.<\/p>\n Tespit edilen k\u00f6t\u00fc ama\u00e7l\u0131 paketler, ba\u015fl\u0131klar\u0131 veya belirli oyun \u00f6zelliklerini formatlamak gibi s\u0131radan g\u00f6revler i\u00e7in kullan\u0131l\u0131yormu\u015f gibi g\u00f6r\u00fcn\u00fcyordu. A\u00e7\u0131klamalar\u0131 eksik olan paketler genel olarak sald\u0131rganlar taraf\u0131ndan pek \u00f6zen g\u00f6sterilmemi\u015f gibi duruyordu. Bununla birlikte, \u2018ba\u015fl\u0131k formatlama\u2019 paketinin Brezilya Portekizcesiyle yaz\u0131lm\u0131\u015f ve #brazil etiketine sahip olmas\u0131, sald\u0131rganlar\u0131n Brezilya\u2019daki kullan\u0131c\u0131lar\u0131 hedefledi\u011fine i\u015faret ediyordu. Di\u011fer paketler \u0130ngilizce olarak sunuldu\u011fu i\u00e7in ba\u015fka \u00fclkelerden kullan\u0131c\u0131lar\u0131 da hedefliyor olabilirdi.<\/p>\n Vir\u00fcsl\u00fc paketlerden biri olan \u201cproc-title\u201d ba\u015fl\u0131kl\u0131 paketin a\u00e7\u0131klamas\u0131 (Portekizce\u2019den \u00e7eviri: Bu paket ba\u015fl\u0131klar\u0131n\u0131z\u0131 Chicago stiline uygun olarak do\u011fru \u015fekilde b\u00fcy\u00fck harfli hale getirir.)<\/p><\/div>\n \u00a0<\/p>\n Ne var ki bu paketler, olduk\u00e7a karma\u015f\u0131k k\u00f6t\u00fc ama\u00e7l\u0131 JavaScript ve Python kodlar\u0131 i\u00e7eriyordu. Bu da depoya y\u00fcklenirken analiz edilmelerini zorla\u015ft\u0131r\u0131yordu. K\u00f6t\u00fc ama\u00e7l\u0131 y\u00fck, Python ile yaz\u0131lm\u0131\u015f a\u00e7\u0131k kaynakl\u0131 Volt Stealer adl\u0131 k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131mdan ve bir\u00e7ok \u00f6zelli\u011fi olan Lofy Stealer adl\u0131 JavaScript k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131ndan olu\u015fuyordu.<\/p>\n Volt Stealer, vir\u00fcsl\u00fc cihazlardan Discord token\u2019lar\u0131n\u0131 ve kurban\u0131n IP adresini \u00e7al\u0131\u015f HTTP \u00fcst\u00fcnden y\u00fcklemek i\u00e7in kullan\u0131l\u0131yordu. Sald\u0131rganlar i\u00e7in yeni bir geli\u015fme olan Lofy Stealer ise Discord istemci dosyalar\u0131na vir\u00fcs bula\u015ft\u0131rabiliyor ve kurbanlar\u0131n eylemlerini izleyerek bir kullan\u0131c\u0131n\u0131n ne zaman giri\u015f yapt\u0131\u011f\u0131n\u0131, kay\u0131tl\u0131 e-postay\u0131 veya parolay\u0131 de\u011fi\u015ftirdi\u011fini, \u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulamay\u0131 etkinle\u015ftirip devre d\u0131\u015f\u0131 b\u0131rakt\u0131\u011f\u0131n\u0131 ve yeni \u00f6deme y\u00f6ntemleri ekledi\u011fini tespit edebiliyordu (yeni \u00f6deme y\u00f6ntemi eklenirse t\u00fcm kredi kart\u0131 bilgilerini de \u00e7al\u0131yordu). Toplanan bilgileri ise uzaktaki bir u\u00e7 noktaya y\u00fckl\u00fcyordu.<\/p>\n A\u00e7\u0131k kaynakl\u0131 depolar herkesin kendi paketini yay\u0131nlamas\u0131na izin verir. BU paketlerin hepsi tamamen g\u00fcvenli de\u011fildir. \u00d6rne\u011fin, sald\u0131rganlar isimde birka\u00e7 harfi de\u011fi\u015ftirerek pop\u00fcler npm paketlerini taklit edebilir, b\u00f6ylece kullan\u0131c\u0131n\u0131n ger\u00e7ek paketi indirdi\u011fini sanmas\u0131na sebep olabilirler. Bu y\u00fczden dikkatli olman\u0131z\u0131 ve her pakete g\u00fcvenmemenizi \u00f6neriyoruz.<\/p>\n Geli\u015ftirme veya derleme ortamlar\u0131 genel olarak tedarik zinciri sald\u0131r\u0131lar\u0131 d\u00fczenlemeye \u00e7al\u0131\u015fan sald\u0131rganlar i\u00e7in i\u015fe yarar hedeflerdir. Bu da bu ortamlar\u0131n Kaspersky Hybrid Cloud Security<\/a> gibi k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m kar\u015f\u0131t\u0131 koruma \u00e7\u00f6z\u00fcmlerini \u015fiddetle gerektirdi\u011fi anlam\u0131na gelir. \u00dcr\u00fcnlerimiz LofyLife\u2019\u0131 HEUR:Trojan.Script.Lofy.gen ve Trojan.Python.Lofy.a kararlar\u0131yla ba\u015far\u0131l\u0131 \u015fekilde tespit etti.<\/p>\nPeki LofyLife nedir?<\/h2>\n
![](\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/91\/2022\/08\/02135613\/lofylife-malicious-packages-in-npm-repository-proc-title-1024x410.jpg\")
K\u00f6t\u00fc ama\u00e7l\u0131 paketlerden korunman\u0131n yollar\u0131<\/h2>\n