Google'dan Sızma Operasyonu: TeamPCP Hacker Çetesinin İçine Nasıl Sızdı?

Siber güvenlik dünyası, son yılların en skandal ve sofistike siber saldırı dalgalarından birinin ardındaki perde arkası detaylarıyla çalkalanıyor. Küresel teknoloji devi Google'ın bünyesindeki uzmanlar, adını siber suç literatürüne altın harflerle (ya da kara lekeyle) yazdıran TeamPCP adlı hacker grubunun operasyonlarına daha ilk günlerden itibaren içeriden müdahale ettiklerini duyurdu. Güvenlik araştırma konferanslarında paylaşılan çarpıcı detaylar, dijital casusluk ve siber istihbarat alanında Hollywood filmlerini aratmayacak bir operasyonun gerçeğe dönüştüğünü gözler önüne seriyor. Yüzlerce açık kaynaklı yazılımı zehirleyen, geliştirici hesaplarını ele geçiren ve binlerce kurumsal ağı hedef alan bu yapı, nihayetinde uluslararası kolluk kuvvetlerinin ortak operasyonuyla çökertildi. Ancak bu çöküşün arkasındaki en büyük gizli kahraman, aylarca hacker'ların iletişim ağlarında nefes alan bir Google analisti oldu.

Yazılım Tedarik Zincirinde Tarihin En Büyük Darbesi

TeamPCP adı verilen hacker grubu, ilk olarak geçtiğimiz yılın sonlarına doğru dijital dünyada ses getirmeye başladı. Ancak grubun asıl yıkıcı hamleleri bu yılın başlarında, adeta koordine edilmiş bir siber ordu gibi zincirleme saldırılarla geldi. Geleneksel siber saldırılardan farklı olarak tedarik zinciri zafiyetlerini hedef alan bu yapının temel stratejisi, yazılım dünyasının güvendiği açık kaynak kodlu kütüphaneleri ve araçları manipüle etmek üzerine kuruluydu. Grubun kurban listesinde adeta yok yoktu; Trivy gibi open-source güvenlik tarayıcılarından tutun, LiteLLM gibi yapay zeka uygulama programlama arayüzlerine, Checkmarx altyapısından TanStack web kütüphanelerine kadar geniş bir yelpaze hedef alındı.

Saldırılar bununla da sınırlı kalmadı. Her bir başarılı sızma, hacker'lara bir sonraki ve daha büyük hedef için gereken geliştirici kimlik bilgilerini ve erişim token'larını kazandırdı. Bu sinsi döngü sayesinde yapı, GitHub depolarından Mercor gibi büyük veri sözleşme firmalarına kadar uzanan devasa bir ağ kurmayı başardı. Hatta yapay zeka devi OpenAI, Avrupa Komisyonu ve daha birçok kamusal ve özel kurumun çalışan cihazları bu siber dalganın kurbanı oldu. İşin en ürkütücü boyutu ise hacker'ların süreçleri otomatize etmek için Dune evrenindeki kum solucanlarından ilham alan 'Mini Shai-Hulud' adlı kendi kendini yayan bir solucan yazılımı (worm) bile geliştirmiş olmasıydı. Bu otomasyon, saldırıların hızını ve etki alanını katbekat artırarak küresel bir kriz potansiyeli yarattı.

Mandiant'ın Gizli Köstebeği ve CanisterWorm Çemberi

Google bünyesindeki siber güvenlik iştiraki Mandiant'ın attığı adım ise siber güvenlik tarihine geçecek nitelikteydi. Araştırmacıların aktardığı bilgilere göre, TeamPCP'nin operasyonları henüz en yoğun dönemine girdiği Mart ayında, Google'ın bir gizli analisti hacker'ların en mahrem iletişim halkasına sızmayı başarmıştı. Aylar süren bir güven inşa etme sürecinin ardından, gruba davet edilen kişilerden biriyle yakınlaşan bu sahte persona, TeamPCP'nin çekirdek kadrosuna dahil edildi.

Yaklaşık 12 kişinin bulunduğu ve 'CanisterWorm' adını taşıyan bu gizli sohbet kanalında, hacker'ların kendi başarılarıyla nasıl gurur duydukları da ifşa oldu. Sızıntı sohbetlerinde çete üyelerinden birinin "Modern tarihte kaydedilmiş en büyük tedarik zinciri operasyonunu gerçekleştirdik" şeklindeki ifadeleri, durumun vahametini gözler önüne seriyordu. Google'ın içerideki köstebeği sayesinde, güvenlik devleri saldırganların hangi sunucularda çalınan kimlik bilgilerini sakladığını, hangi hedeflere şantaj yapmayı planladığını anbean takip edebildi. Avustralya Federal Polisi ve FBI ile koordineli yürütülen süreçte, Avustralya'da yaşayan yirmili yaşlarındaki iki ana şüphelinin operasyonel güvenlik (OpSec) hataları titizlikle takip edildi ve nihayetinde bu kişiler düzenlenen operasyonlarla kıskıvrak yakalandı.

Dijital Dünyanın Savunmasında Yeni Bir Dönem

Google ekibinin içeriden elde ettiği istihbarat, kurban olabilecek binlerce şirketi potansiyel bir felaketten kurtarmak için hayati önem taşıdı. Çalınan kullanıcı adı, parola ve erişim anahtarlarının depolandığı sunuculara erişen Google araştırmacıları, doğrudan kurban şirketleri tek tek uyarmak yerine çok daha stratejik ve hızlı bir yol izledi. Saniyelerle yarışılan bu süreçte Amazon Web Services (AWS) ve Microsoft gibi bulut ve altyapı sağlayıcılarıyla temasa geçilerek, ele geçirilen tüm kimlik bilgileri anında iptal ettirildi. Yüzlerce uyarı e-postası gönderilerek hacker'ların bu anahtarları sömürmesi engellendi.

Bu olay, açık kaynak yazılım ekosisteminin ne kadar kırılgan olabileceğini bir kez daha gözler önüne serdi. Yazılım geliştirme süreçlerinde kullanılan üçüncü taraf kütüphanelerin denetlenmemesi veya körü körüne güvenilmesi, milyarlarca dolarlık devasa şirketleri bile bir gecede savunmasız bırakabiliyor. TeamPCP vakası, sadece bir siber suç çetesinin çökertilmesiyle kalmadı; aynı zamanda istihbarat odaklı proaktif siber güvenliğin ve teknoloji devlerinin küresel çapta gösterdiği iş birliğinin ne denli kritik olduğunu kanıtladı. Önümüzdeki dönemde yazılım tedarik zinciri güvenliğine yönelik yatırımların katlanarak artması ve açık kaynak kod denetim mekanizmalarının radikal bir şekilde sıkılaştırılması bekleniyor.