Cloudflare, açık kaynak YZ sızma çerçevesi ARTEX'in geliştiricisi tarafından 8 Ekim'de kaldırılmasının ekosistemi küçültmek yerine patlattığını bildiriyor: orijinal depodan iz taşıyan 12 binden fazla depo türedi, son üç günde 50'den fazla çerçeve ailesi müşterilerini taradı ve bu araçların günlük istek trafiği 1 Ekim'den bu yana 30 kattan fazla arttı. Şirketin olay müdahale ekibi, ARTEX türevi araçların çalınmış statik CI/CD anahtarlarıyla zincirlendiği ve müşteri ortamlarında dakikada 69 istek, saatte 400 veri tabanı dökümü düzeyinde etkinlik gördüğü vakaları inceledi. Cloudflare, savunma için altı sütunlu bir 'Modern Güvenlik Modeli' öneriyor.
FBI’ın ARTEX uyarısının hemen ardından saha tarafından çarpıcı bir tablo geldi: Cloudflare, dünyanın en büyük ağlarından birinden derlediği telemetriyi paylaştı. Tablonun özeti, açık kaynak araçların kaldırılmasının beklenmedik bir sonucu: ARTEX’i 8 Ekim’de geliştiricisi kaldırdığında depo tek noktadaydı; bir ay sonra orijinal depodan iz taşıyan 12 binden fazla depo var ve bunlardan birkaç yüzü kendi kod değişiklikleriyle özgün fork’lar. Cloudflare bunu ‘hydra etkisi’ olarak adlandırıyor — kaynağın kaldırılması, yüzlerce kopyanın ve türevin doğmasıyla sonuçlandı.
Sayılar hızlı bir yayılmayı gösteriyor: son üç günde 50’den fazla YZ sızma çerçevesi ailesi küresel ölçekte Cloudflare müşterilerini taramaya çalıştı; bu çerçeveleri çalıştıran IP adresleri binlerce seviyesine ulaştı ve günlük artmaya devam ediyor. Bu araçların günlük istek hacmi 1 Ekim’den bu yana 30 kattan fazla, 8 Ekim kaldırmasından bu yana da 10 kattan fazla arttı. 12 Kasım itibarıyla ARTEX ve fork’ları, bilinen YZ sızma orkestratörlerinin YÜZDE 60’ından fazlasını oluşturuyor. Cloudflare’e göre bu araçlar geleneksel sızma araçlarını Model Context Protocol üzerinden yeniden bağlayıp ortamları grafik üzerine eşliyor ve birden çok bağımsız ajanı ‘çıkarım hızıyla’ saldırtırıyor — savunmacıların hacim olarak yetişmesi giderek zorlaşıyor.
Şirketin Cloudforce One olay müdahale ekibi, son sekiz haftada ARTEX ve türevleriyle ilgili çok sayıda vakaya girdi. Ortak kök neden bir kimlik hijyen hatası: saldırganlar, CI/CD hatlarında çalışan süresiz statik anahtarları ele geçirip hiperscale bulut ortamından müşterinin Cloudflare ortamına doğrudan geçiyor. Bir vakada ele geçirilen hesap-düzeyi API anahtarıyla otomatik olarak ‘artex-*’ biçiminde adlandırılmış yüzlerce Worker betiği oluşturuldu; dakikada 69 isteği aşan etkinlik ve bir saatte 400 veri tabanı dökümü isteği gözlendi; oturum anahtarı doğrulama denemeleri ve kalıcılık mekanizmaları da tespit edildi.
Cloudflare’in önerisi ‘Modern Güvenlik Modeli’: ön kapıyı güçlendirmek (WAF ve hız limitleri), tüm web uygulamalarında anomali tespiti, bot savunması, yüksek riskli uygulamalarda kimlik-kapılı erişim, doğrulanmış şema ve açık güvenlik kontrolleriyle teslimat denetimi ve tehdit istihbaratıyla görünürlük. FBI uyarısıyla birlikte tablo netleşiyor: sorun tek bir araç değil, çoğalan bir ekosistem — ve statik anahtarlarla geniş yetkili erişim, bu araçların en verimli yakıtı. İzlenecek kapılar: fork ekosisteminin büyüme hızı, kimlik sağlayıcıların statik anahtarları emekliliğe taşıması ve YZ-orkestratör imzalarının WAF/WAF-benzeri sistemlere yerleşmesi.