GiTRay reponun her dosyasında 35 kural çalıştırır. Bir kural, en güçlü bulgusuyla puana bir kez ağırlığını ekler. Toplam en fazla 100'dür: 30 altı temiz, 30 ve üstü şüpheli, 70 ve üstü tehlikeli. Bazı kurallar daha güçlü kanıtta ağırlığını artırır (örneğin bir şey de indiren bir kurulum scripti). Kod kuralları, komutların genellikle örnek olduğu belgelerde ve kaynak kodundaki arama kalıplarında ve yorumlarda daha az ağırlık taşır: bunlar hiç çalışmaz, güvenlik araçları saldırıları böyle tarif eder.
Reponun kendi kodu temiz olabilir ama npm install ya da pip install, güvenlik araştırmacılarının zararlı olduğunu doğruladığı bir paketi indirebilir (OpenSSF malicious-packages verisi, OSV üzerinden). Bağımlılıkları kurmak onu çalıştırır. Sahte iş görüşmesi projeleri ve isim taklidi yapan paketler bilgi çalan yazılımları böyle ulaştırır.
npm, yaşam döngüsü scriptlerini (preinstall, postinstall, ...) "npm install" sırasında, siz hiçbir şeyi kullanmadan ya da incelemeden önce kendiliğinden çalıştırır. Zararlı paketler ve repolar bunu geliştiricinin bilgisayarında kod çalıştırmak için kullanır.
dosyalar: package.json
pip, paket kaynak koddan kurulurken setup.py'yi çalıştırır. Derleyici sürümünü okumak olağandır; ama orada veri indirmek, indirme araçlarını çalıştırmak ya da çözülmüş kodu yürütmek, kurulumda bir zararlı yükün çalışması demektir.
dosyalar: setup.py
"runOn": "folderOpen" ayarlı bir görev, repo VS Code'da açıldığında (çalışma alanına güvenildikten sonra) kendiliğinden başlar. Sahte iş görüşmesi ve "ev ödevi" repoları bunu geliştiricilerin bilgisayarında zararlı yazılım çalıştırmak için kullanır.
dosyalar: .vscode/tasks.json, *.code-workspace
Build olayları ve Exec görevleri, proje Visual Studio'da derlenir derlenmez komut çalıştırır. Güvenlik araştırmacılarını hedef alan saldırılarda, build olayı PowerShell başlatıp arka kapı kuran proje dosyaları dağıtıldı.
dosyalar: *.csproj, *.vbproj, *.fsproj, *.vcxproj, *.vcproj, *.props, *.targets, *.proj
Cargo, crate'i derlemeden önce build.rs'yi derleyip çalıştırır; yani "cargo build" sırasında ve açılışta derleme yapan IDE'lerde çalışır. git ya da pkg-config çağırmak normaldir; indirme yapmak ya da PowerShell başlatmak zararlı crate'lerin yük taşıma yoludur.
dosyalar: build.rs
initializeCommand konteynerin içinde değil, sizin bilgisayarınızda çalışır: VS Code'da "Reopen in Container" seçtiğiniz ya da dev container'ı başka bir araçla başlattığınız anda. Orada bir şey indiren ya da çözen komut bir kurulum adımı değil, zararlı yüktür.
dosyalar: .devcontainer/devcontainer.json, .devcontainer.json, .devcontainer/*/devcontainer.json
git.path, php.validate.executablePath ya da bir terminal profili gibi çalışma alanı ayarları VS Code'a hangi programı başlatacağını söyler. Bunlar repodaki bir dosyayı gösteriyorsa VS Code, klasör açılıp güvenilir sayıldığı anda saldırganın programını çalıştırır.
dosyalar: .vscode/settings.json, *.code-workspace
Claude Code, Cursor ve Gemini CLI, projenin ayarlarındaki hook komutlarını kendiliğinden (örneğin oturum başlarken) çalıştırır ve projenin tanımladığı MCP sunucularını başlatır. Zehirli bir repoyu yapay zekâ asistanıyla açmak onun komutlarını çalıştırır.
dosyalar: .claude/settings.json, .claude/settings.local.json, .cursor/hooks.json, .gemini/settings.json, .mcp.json, .cursor/mcp.json, .vscode/mcp.json
Projedeki .npmrc, o klasörde çalışan her npm komutuna uygulanır. --require ya da --import içeren node-options, npm'in başlattığı her Node sürecine bir dosya yükler; script-shell ise her scripti çalıştıran kabuğun yerine geçer. Tek bir npm install ya da npm test onu çalıştırır.
dosyalar: .npmrc
direnv, "direnv allow" ile izin verdikten sonra terminalde klasöre her girişinizde .envrc'yi çalıştırır. Değişken tanımlamak normaldir; orada uzaktan bir script indirmek, görmediğiniz kodu her cd'de çalıştırır.
dosyalar: .envrc
Kod çözülüyor (base64, hex, zlib, ...) ve doğrudan bir yorumlayıcıya veriliyor. Meşru projeler çalıştırdıkları şeyi nadiren gizler; zararlı yazılım bunu inceleyenleri ve tarayıcıları atlatmak için yapar.
Uzaktaki bir script indirilip kaydedilmeden ya da incelenmeden hemen çalıştırılıyor. O adresi kim kontrol ediyorsa bilgisayarınızı da o kontrol eder.
Tarayıcıların kayıtlı şifreleri, çerezleri ve bunları çözen anahtarları tuttuğu dosyalara başvuruyor. Bilgi çalan zararlı yazılımlar tam olarak bu dosyaların peşindedir.
SSH özel anahtarlarına ya da authorized_keys dosyasına başvuruyor. Çalınan özel anahtarlar sunuculara ve GitHub'a erişim sağlar; authorized_keys'e yazmak arka kapı kurar.
Cüzdan dosyalarına, cüzdan uygulamalarının klasörlerine ya da cüzdan tarayıcı eklentilerine başvuruyor. Kripto çalan zararlı yazılımlar tam olarak bunları arar.
Koda gömülü bir Discord webhook'u ya da Telegram bot token'ı, bilgi çalan zararlı yazılımların çalınan şifre, çerez ve dosyaları saldırgana göndermesinin en yaygın yoludur: sunucu bile gerekmez.
Windows'un kendi programları (certutil, bitsadmin, mshta, rundll32, regsvr32) zararlı yük indirip çalıştırabilir; Defender istisnaları, gizli PowerShell pencereleri ve Run anahtarları da zararlı yazılımın saklanma ve yeniden başlatmadan sağ çıkma yoludur. Normal projelerin bunlara neredeyse hiç ihtiyacı olmaz.
Kod başka bir dosyayı okuyup çalıştırıyor. Sürüm dosyasını böyle okumak eski bir Python alışkanlığıdır; ama Markdown, metin ya da resim dosyası çalıştırmak, asıl yükün inceleyenlerin ve tarayıcıların zararsız veri saydığı bir yere saklandığı anlamına gelir.
Rastgele görünen uzun metinler, çalışırken çözülen kodlanmış ya da şifrelenmiş yüklerin tipik görüntüsüdür. Zararsız veri de olabilirler (anahtarlar, fontlar, test verileri), bu yüzden tek başına zayıf bir işarettir.
Unicode yön değiştirme karakterleri kodun, derleyicinin okuduğundan farklı bir sırada görünmesini sağlar ("Trojan Source", CVE-2021-42574): inceleyen kişi bir yorum görürken yorumlayıcı bir komut çalıştırır. Sağdan sola yazı düz metinde sorun değildir, kodun içinde asla.
Yüzlerce boşluk kodu ekranın dışına iter; GitHub ve editörler masum görünen bir satır gösterirken saklı kısım çalışır. Sahte GitHub projeleri, yükleyicileri çalışan kodun içine böyle kaçırır.
Uzun varyasyon seçici, etiket ya da sıfır genişlikli karakter dizileri hiçbir şey göstermez ama koca bir programı taşıyabilir; son tedarik zinciri solucanları yükleyicilerini böyle sakladı. Boş görünen Hangul dolgu karakterleri de görünmez değişken adı olarak kullanılabilir.
Zararlı repolar ziyaretçiyi, gördükleri kodu derlemek yerine bir arşive ya da programa yönlendirir. Reponun kendi release dosyaları ve kaynak arşivi muaftır; diğer GitHub repoları dahil geri kalan her şey sayılır.
dosyalar: *.md, *.markdown, *.mdown, *.rst, *.adoc, *.asciidoc, *.txt, README*
Kısaltılmış ya da reklam geçişli bir link nereye gittiğini saklar ve hedefi incelemeden sonra her an değiştirilebilir. Sahte indirme sayfaları buna dayanır.
dosyalar: *.md, *.markdown, *.mdown, *.rst, *.adoc, *.asciidoc, *.txt, README*
Dosya paylaşım siteleri (MediaFire, MEGA, Google Drive, Dropbox, Discord ekleri, ...) kimsenin incelemediği ve her an değiştirilebilen dosyalar barındırır. Sizi kendi release'leri yerine oraya gönderen bir kaynak kod reposu klasik bir tuzaktır.
dosyalar: *.md, *.markdown, *.mdown, *.rst, *.adoc, *.asciidoc, *.txt, README*
Şifreli bir arşivi antivirüs, GitHub ya da bu tarayıcı açamaz. Şifreyi indirme linkinin yanında yayımlamak, zararlı yazılımın her tarayıcıyı atlatıp yine de kurbana ulaşma yoludur.
dosyalar: *.md, *.markdown, *.mdown, *.rst, *.adoc, *.asciidoc, *.txt, README*
Kaynak kod reposundaki hazır bir program kod gibi incelenemez: GitHub'da gördüğünüz şey çalışan şey değildir. Sahte projeler yükü böyle taşır, çoğu zaman hiçbir şey yapmayan kaynak kodun yanında. Windows kısayol (.lnk) dosyaları da yaygın bir zararlı yazılım başlatıcısıdır.
Şifreli bir arşivi GitHub, antivirüs ya da bu tarayıcı inceleyemez. Meşru projelerin böyle bir dosya eklemesi için sebep yoktur; zararlı yazılım bunu her tarayıcıdan sıyrılmak için yapar.
VirusTotal dosyaları yaklaşık 70 antivirüs motorundan geçirir. SHA-256 parmak iziyle eşleşen bu dosyayı (hiçbir şey indirilmez ya da çalıştırılmaz) bazıları yakalıyor. Beş ya da daha fazla motor, bilinen zararlı yazılım demektir. Birkaç motorun yakalaması kurulum dosyalarında ve küçük başlatıcılarda sık görülen bir yanlış alarmdır, o yüzden az puan alır.
Sahte repolar genellikle birkaç gün önce açılmış ve şikâyet edilince terk edilen hesaplardan yüklenir. Yeni hesap tek başına sorun değildir ama diğer bulgulara ağırlık katar.
Zararlı yazılım kampanyaları yeni repolar açar (çoğu zaman popüler projelerin kopyaları) ve kimse yakından bakmadan onları öne çıkarır. Yalnızca diğer bulgularla birlikte önem taşıyan zayıf bir işarettir.
Bir .gitattributes export-ignore kuralı bu dosyaları GitHub'ın verdiği arşivin dışında tutar ama "git clone" onları yine getirir. Paketler bunu çoğunlukla testleri çıkarmak için kullanır; ama arşivi okuyan tarayıcılardan bir yükü saklamanın da yoludur. GiTRay bu dosyaları ayrıca indirip diğerleri gibi tarar.
CI ayarı bir script indirip derleme sunucusunda çalıştırıyor (GitHub Actions, GitLab CI, Azure Pipelines, ...). Orası repoyu klonlayan kişinin bilgisayarı değildir, o yüzden az puan alır; yine de o adresi kim kontrol ediyorsa derlemeyi de o kontrol eder.
dosyalar: .github/workflows/*.yml, .github/workflows/*.yaml, .gitlab-ci.yml, .gitlab/ci/*.yml, .travis.yml, .circleci/*.yml, appveyor.yml, .appveyor.yml, bitbucket-pipelines.yml, .drone.yml, .woodpecker.yml, .woodpecker/*.yml, .buildkite/*.yml, cloudbuild.yaml, cloudbuild.yml, codemagic.yaml, Jenkinsfile, azure-pipelines*.yml, azure-pipelines/*.yml, azure-pipelines/*/*.yml, azure-pipelines/*/*/*.yml, .azure-pipelines/*.yml, .pipelines/*.yml
Sosyal mühendislik
Antivirüsünüzü kapatmanızı istiyor
Kullanıcılara Windows Defender'ı kapatmalarını, istisna eklemelerini ya da bir "yanlış alarmı" görmezden gelmelerini söylemek sahte hile, crack ve araç repolarının imzasıdır: yoksa indirilen dosya engellenirdi.
dosyalar: *.md, *.markdown, *.mdown, *.rst, *.adoc, *.asciidoc, *.txt, README*