دودة npm جديدة من عائلة Miasma استهدفت 42 مستودع GitHub حقيقيًا، حسبما كشف باحثو JFrog. هذه الدودة الخبيثة، التي كان يُعتقد في البداية أنها مجرد اختبار، تمكنت من اختراق حسابات المطورين منذ يوليو الماضي، مستخدمة حمولات مصممة لتجنب الكشف من قبل GitHub والماسحات الآلية.
كيف تم الكشف عن الدودة؟
اكتشف خبراء الأمن السيبراني في SafeDep، وهي شركة أمن لسلاسل الإمداد مفتوحة المصدر، حملة «testmetest» npm لأول مرة الأسبوع الماضي. حددت SafeDep 18 حزمة مرتبطة بنفس المشغل بين 19 و25 أكتوبر، تضمنت إصدارات تحتوي على برمجيات خبيثة لسرقة بيانات الاعتماد. الدودة، مثل ديدان npm السابقة، ذاتية التكرار، وتسرق بيانات الاعتماد، وتثبت برنامجًا لمسح الملفات يحذف المجلد الرئيسي عند إلغاء الضحية لرمز GitHub المسروق.
بينما اعتقدت SafeDep في البداية أن النشاط يقتصر على حسابات المشغل الاختبارية، أظهر تحليل JFrog في تقرير صدر يوم الاثنين عكس ذلك. أكد باحثو JFrog أن مشغل حملة «testmetest» «سلّح بالفعل مستودعات حقيقية تابعة لمطورين ومنظمات معروفة». أحد الجوانب المقلقة هو أن الحمولات كانت كبيرة بما يكفي (من 12.9 إلى 13.7 ميغابايت) للتهرب من بحث GitHub ومسارات API المستخدمة عادةً للكشف عن مثل هذه الاختراقات.
آلية عمل الهجوم وتداعياته
أفاد باحثو JFrog أن المهاجمين زرعوا خطافات تنفيذ (execution hooks) لمساعدي ترميز الذكاء الاصطناعي وأدوات التطوير، بما في ذلك Claude وGemini وCursor وVS Code. إلى جانب ذلك، استخدموا أغلفة متعددة الأشكال (polymorphic wrappers) لفك تشفير حمولة CI-publisher مخفية. تقوم دودة npm هذه بسرقة بيانات الاعتماد، وتعديل المستودعات وتكوينات CI، وتنتشر عبر حزم npm. كما تستخدم إضافة أصلية مجمعة لفك تشفير وتشغيل حمولة منفصلة. قبل التنفيذ، يتحقق المحمل من وجود مشغلات CI، وحاويات، وبيئات الاختبار المعزولة، وأجهزة التصحيح، وغيرها من علامات التحليل الآلي، ليخرج بصمت إذا اكتشف أيًا منها لتقليل احتمالية الكشف.
تتبع JFrog هذا الحساب إلى ماسح ضوئي لـ «shellpanel» تم توثيقه سابقًا بواسطة Socket في حملة واسعة النطاق استغلت GitHub Actions في المستودعات المخترقة لاستغلال الثغرة الأمنية CVE-2026-41940 وسرقة بيانات اعتماد الخادم. تُعد CVE-2026-41940 ثغرة تجاوز مصادقة تؤثر على cPanel وWHM، وقد أضافتها CISA إلى قائمة الثغرات المستغلة المعروفة في أبريل، وتم نشر إصدارات مصححة منذ ذلك الحين. لم يؤكد باحثو JFrog أي اختراقات لاحقة لـ cPanel، رغم اكتشافهم 42 مستودع GitHub مسلحًا ومحاولات استغلال على مستوى الإنترنت.
ماذا يعني هذا للمطورين؟
برأينا، هذا التطور يؤكد على الحاجة الملحة للمطورين للحذر الشديد عند دمج الحزم الجديدة أو استخدام أدوات التطوير التي تتصل بسلاسل الإمداد. يجب مراجعة الحزم بعناية، خاصةً عند استخدام npm، والتحقق من مصادرها. كما تسلط الضوء على أهمية الحفاظ على تحديث جميع الأنظمة والأدوات، وتفعيل المصادقة متعددة العوامل على GitHub وجميع الخدمات الحساسة. لا تستهينوا أبدًا بأهمية الفحص الأمني لأي شيء تضيفونه لمشروعكم.
المصدر: theregister.com