- مكتبات بارزة مثل أكسيوس وماسترا تم اختراقها من خلال حسابات المسؤولين عن الصيانة المختطفة، مما أثر على ملايين التنزيلات الأسبوعية.
- استخدم المهاجمون تقنيات متطورة خطافات ما بعد التثبيت لتوفير أبواب خلفية متعددة المنصات وسرقة بيانات الاعتماد الحساسة من بيئات المطورين.
- الجهات الفاعلة التي تُشكّل تهديداً، بما في ذلك تلك المرتبطة بـ جماعات كورية شمالية، يستغلون بشكل متزايد الثقة في الاعتماد على المصادر المفتوحة بدلاً من البحث عن عيوب البرامج.
- يوصي خبراء الأمن تعطيل البرامج النصية لدورة الحياة وتطبيق ضوابط صارمة على خروج البيانات من الشبكة للتخفيف من تأثير الطرود المسمومة.
يكتشف المطورون ذلك بالطريقة الصعبة. المشهد التنموي الحديث باتت هذه المسألة محفوفة بالمخاطر بشكل متزايد، حيث يمكن لكلمة مرور واحدة منسية أن تُعرّض آلاف المشاريع للخطر. وقد شهد عالم التقنية ارتفاعًا هائلًا في حوادث سلاسل التوريد مؤخرًا، مما يُثبت أنه حتى أكثر الأدوات موثوقيةً لدى المطورين يُمكن استخدامها ضدهم في غضون دقائق دون أن يلاحظ أحد ذلك حتى فوات الأوان.
تشير البيانات الحالية إلى أننا نشهد تحولاً جذرياً في كيفية عمل المتسللين، حيث يبتعدون عن الاستغلالات التقليدية للتركيز على أمن سلسلة التوريدمن خلال التسلل إلى أنظمة المنصات الشائعة مثل npm، يمكن للمهاجمين توزيع التعليمات البرمجية الخبيثة على ملايين الأنظمة في وقت واحد، وتحويل تحديثات البرامج الشرعية إلى آلية توصيل للبرامج الضارة عالية المستوى وأدوات سرقة البيانات.
نظام ماسترا البيئي وفخ التصيد الاحتيالي على لينكدإن
في منتصف عام 2026، أصبح إطار عمل ماسترا، المستخدم على نطاق واسع لبناء تطبيقات الذكاء الاصطناعي، ضحية لحملة منسقة بدأت بـ هجوم هندسة اجتماعية متطورتلقى أحد المساهمين رسالةً خادعةً على لينكدإن، ما أدى في النهاية إلى اختراق رمز النشر الخاص به على منصة npm. لم يُضيّع المهاجم أي وقت، فنشر أكثر من 140 نسخةً خبيثةً من الحزم البرمجية تحت اسم "ماسترا"، ليصل إلى قاعدة مستخدمين تُولّد أكثر من مليون عملية تنزيل أسبوعيًا.
ما يجعل هذا الحادث خبيثًا بشكل خاص هو أن شفرة ماسترا نفسها ظلت سليمة، حيث تم إخفاء البرمجية الخبيثة داخل... التبعية المضافة حديثًا يُطلق عليها اسم easy-day-js. كانت هذه الحزمة نسخةً مُقلّدة من مكتبة تواريخ شائعة، مُصممة لتبدو بريئة تمامًا لأي مُطوّر يُلقي نظرة سريعة على شجرة التبعيات. باستخدام نطاق إصدار عائم، ضمن المُهاجم أن أي تثبيت جديد سيسحب تلقائيًا الإصدار المُخترق، مما يُتيح فعليًا ثغرةً أمنيةً في محطة عمل المُطوّر أو مُشغّل التكامل المُستمر/التسليم المُستمر (CI/CD).
لاحظت مجموعات البحث اختلافات طفيفة في العدد الإجمالي للقطع الأثرية المتضررة، حيث تراوحت الأعداد بين من 116 إلى 145 طرد يعتمد ذلك على توقيت التحليل. وهذا يُبرز الطبيعة المتقلبة لهذه الحملات، حيث يمكن للمهاجمين نشر الأدلة وتعديلها وحذفها بسرعة، مما يجعل فرق الأمن تكافح لرسم خريطة كاملة لمدى التعرض قبل إخفاء الآثار.
اختطاف أكسيوس: اتصال plain-crypto-js
ازداد الوضع سوءًا عندما تعرض Axios، وهو عميل HTTP أساسي لمطوري JavaScript، لهجوم مماثل حدث اختطاف الحسابتم إصدار النسختين 1.14.1 و0.30.4 مع تبعية خفية تُدعى plain-crypto-js، والتي كانت تعمل كبرنامج تجسس للوصول عن بُعد (RAT) متعدد المنصات. صُمم هذا البرنامج الخبيث خصيصًا لحصر الأنظمة، وتأمين استمرارية الوصول إليها، واستخراج البيانات الحساسة من بيئات ويندوز وماك ولينكس على حد سواء.
ربط محللو الأمن من شركتي Unit 42 وESET اختراق Axios بجهة تهديد تُعرف باسم صقيع الياقوت أو UNC1069مجموعة يُزعم ارتباطها بمصالح كوريا الشمالية. يشير هذا الارتباط إلى دافع مالي قوي، إذ احتوى البرنامج الخبيث على وحدات متخصصة لاكتشاف واستهداف ملحقات محافظ العملات المشفرة. إنها حالة كلاسيكية للتجسس الرقمي عالي المخاطر، والذي يتخفى في وضح النهار داخل الأدوات التي نستخدمها لبناء تطبيقات الويب الأساسية.
كان التنفيذ التقني فعالاً بشكل مخيف، حيث كان غالباً ما يكمل دورة العدوى الكاملة في أقل من خمس عشرة ثانيةبمجرد تشغيل الحمولة الخبيثة، يقوم برنامج التثبيت بعملية تنظيف شاملة، حيث يحذف ملفات الإعداد الضارة ويستبدل ملف البيان المُعدَّل بملف وهمي يبدو سليمًا. هذا المستوى من الوعي الجنائي يعني أن المطور قد يتمكن من فحص مجلد node_modules الخاص به بعد دقائق فقط من الإصابة ولن يجد أي شيء غير عادي على الإطلاق.
الآليات الفنية لخطاف ما بعد التركيب
المحرك الرئيسي لهذه الهجمات هو خطاف ما بعد التثبيت في npm، وهي ميزة تسمح للحزم بتشغيل البرامج النصية تلقائيًا بعد التثبيت. بينما صُممت هذه الميزة لـ مهام التكوين المشروعةلقد أصبح ذلك بمثابة ثغرة أمنية واسعة النطاق للمهاجمين. ففي كلتا حالتي ماسترا وأكسيوس، قام البرنامج النصي الذي تم تثبيته بعد التثبيت بتشغيل برنامج تحميل مُشفر قام بتعطيل التحقق من شهادة TLS، مما سمح للبرمجية الخبيثة بالتواصل مع خوادم التحكم والسيطرة دون أن يتم رصدها بواسطة أدوات فحص الشبكة القياسية.
بمجرد جلب المرحلة الثانية من البرمجية الخبيثة، غالبًا ما يتم تشغيلها كعملية منفصلة، مما يعني أن الكود الخبيث سيفعل يستمر التشغيل في الخلفية حتى بعد انتهاء عملية تثبيت npm. على أنظمة ويندوز، لوحظ أن البرمجية الخبيثة تستولي على ملفات تنفيذية شرعية مثل PowerShell لتنفيذ برامجها النصية، بينما على أنظمة macOS ولينكس، تستخدم خدمات النظام لضمان بقائها بعد إعادة التشغيل، مما يجعل حذف الحزمة ببساطة غير فعال.
إلى جانب سرقة العملات المشفرة، كانت هذه البرامج المزروعة قادرة على التقاط سجل تصفح الإنترنت والبحث عن بيانات اعتماد موفر الخدمة السحابية أو مفاتيح SSH. بالنسبة للشركات الناشئة في مجال التكنولوجيا، يُعدّ هذا سيناريو كارثيًا، حيث تُصبح بيئة المطور المحلية بوابةً للمهاجم للتسلل إلى خوادم الإنتاج أو مستودعات التعليمات البرمجية الخاصة. قد يتبين أن أمن شركتك يعتمد ببساطة على شخص غريب تمامًا يُحسن إدارة كلمات المرور.
تعزيز البنية التحتية لمواجهة التهديدات المستقبلية
غالباً ما تفشل أدوات الأمان القياسية مثل npm audit في رصد هذه الحوادث في مراحلها المبكرة لأنها تعتمد على قواعد بيانات الثغرات الأمنية المعروفة قد تتأخر هذه الإجراءات عن حملات البرامج الضارة النشطة. ولحماية المؤسسة بشكل فعلي، يجب على الفرق الانتقال إلى وسائل دفاع استباقية أكثر، مثل: تشغيل عمليات التثبيت باستخدام علامة –ignore-scripts افتراضياً. تمنع هذه الخطوة البسيطة تنفيذ خطافات ما بعد التثبيت، والتي تُعدّ الوسيلة الرئيسية لمعظم هجمات سلسلة التوريد القائمة على npm.
تتمثل إحدى الاستراتيجيات الحاسمة الأخرى في الانتقال إلى نموذج انعدام الثقة فيما يتعلق بالتبعيات. باستخدام ملفات القفل المجمدة والسجلات الخاصةيمكن للشركات إنشاء منطقة عازلة حيث يتم تحليل إصدارات الحزم الجديدة بحثًا عن أي خلل سلوكي قبل السماح بإدخالها في مسار البناء الرئيسي. كما أن تقييد خروج الشبكة من مشغلي التكامل المستمر/التسليم المستمر (CI/CD) إلى النطاقات المعتمدة فقط يمكن أن يقطع سلسلة الاتصال التي تحتاجها البرامج الضارة لجلب حمولاتها الثانوية أو استخراج الرموز المسروقة.
في نهاية المطاف، تقع المسؤولية على عاتق كل من القائمين على صيانة برامج المصادر المفتوحة ومستخدميها لـ تشديد ضوابط الوصول وتطبيق مصادقة متعددة العوامل لا يمكن تجاوزها برموز الأتمتة. ومع تطور هذا القطاع، فإن التعامل مع كل مكتبة خارجية باعتبارها خطرًا محتملاً بدلاً من كونها أصلًا موثوقًا به هو السبيل الوحيد للتغلب على عصر أصبحت فيه سلسلة التوريد نفسها واحدة من أكثر الأسلحة فعالية في ترسانة المخترقين.
