ثغرة أمنية واحدة، حزمة برمجية خبيثة وحيدة مخبأة بين ملايين الحزم، كفيلة بتعريض أمن تطبيقات لا حصر لها للخطر، مما يهدد العمليات التجارية وخصوصية المستخدمين على حد سواء. في خضم هذا الوضع المحفوف بالمخاطر، انطلق فريقنا في Xygeni في عملية أمنية، كاشفًا عن حقيقة مُرّة لطالما خشيها الكثيرون، لكن قليلين هم من استطاعوا تأكيدها: وجود حزم npm خبيثة في صميم بنيتنا الرقمية.
في الفترة من 13 إلى 15 يناير 2024، اخترق فحصنا الخاص للكشف عن البرمجيات الخبيثة حاجز الأمان، كاشفًا ليس حزمة واحدة، بل عشر حزم npm خبيثة. لم تكن هذه مجرد أعمال تخريب عشوائية، بل حملات مُصممة خصيصًا لتسريب البيانات الحساسة إلى زوايا الإنترنت المظلمة. هذا الكشف ليس مجرد جرس إنذار، بل هو دعوة صريحة للعمل لكل من له صلة بعملية تطوير البرمجيات.
في ذلك الوقت، كان ذلك الحجم لا يزال ملحوظاً. أما في عام 2026، فلم يعد كذلك. الإصدارات الأخيرة من ملخص التعليمات البرمجية الضارة يتم تأكيد وجود ما بين 100 إلى 200 حزمة خبيثة أسبوعيًا على منصتي npm وPyPI فقط، وفي نفس الفترة الزمنية التي تمتد لثلاثة أيام اليوم، سيظهر عدد أكبر بعشرة أضعاف. لم تختفِ تقنيات الاختراق والتهرب الموثقة أدناه، بل تم تطويرها على نطاق واسع لم يتوقعه أحد في أوائل عام 2024.
وباعتبارنا روادًا في مجال الأمن السيبراني، فإن وجهة نظر Xygeni الفريدة تسمح لنا ليس فقط باكتشاف هذه التهديدات ولكن أيضًا بفهم آثارها بعمق. وهذا التقرير هو شهادة لنا commitضرورة حماية الحدود الرقمية لاكتشاف الأدلة الضارة في التعليمات البرمجية لتجنب التحويل في الهجمات المستقبلية.
انضم إلينا ونحن نتعمق في التفاصيل المعقدة لهذه الحملات، ونكشف أساليب المهاجمين، والأهم من ذلك، تسليط الضوء على الكيفية التي يمكن بها للشركات تعزيز دفاعاتها ضد مثل هذه التهديدات الخبيثة.
الاكتشاف الأولي: اختراق Aurora Webmail Pro
كان الاكتشاف الأولي في تحقيقنا هو الحزمة المسماة aurora-webmail-pro، والذي تم تحميله إلى سجل NPM بواسطة مستخدم بالاسم المستعار 0x379c. وسرعان ما أعقب هذا الاكتشاف التعرف على أربع حزم إضافية، تم تحميلها جميعًا بواسطة نفس المؤلف قبل إيقاف أنشطتها بسبب الإجراءات الأمنية للسجل.
وشملت هذه الحزم blog_2021@1.1.1, Heatwallet@10.1.1, نيوبوكينج@1.1.1و بيكو@1.0.1. وبعد فحصها، تبين أن كل حزمة تحتوي على تعليمات برمجية ضارة متشابهة بشكل لافت للنظر تهدف إلى سرقة معلومات المستخدم الحساسة.
يستعيد البرنامج معلومات النظام الحساسة المتعلقة بالمستخدم والنظام ويقوم بإنشاء ملف سداسي مع هذه البيانات. ثم يتم تكرار البيانات ولكل قطعة، يتم تقديم طلب GET إلى موقع خارجي، حيث يكون المسار الذي تم الوصول إليه هو كل قطعة من القطع التي تم إنشاؤها.
الكشف الثانوي: تكتيكات متنوعة في انتشار التعليمات البرمجية الضارة
بالتزامن مع اكتشاف الدفعة الأولية، كشف تحقيقنا عن أربع حزم NPM إضافية، تم توزيعها عبر السجل بواسطة ثلاثة مستخدمين متميزين.
هذه الحزم، مدرجة على أنها أي شخص-deps@1.0.0, shoponline.epiroc.com@1.0.1, shoponline.epiroc.com@1.0.2و سينولوجي-cft@10.0.0، تشترك في خيط مشترك في قاعدة التعليمات البرمجية الخاصة بها، حيث تم تصميم كل منها لسحب معلومات المستخدم. ومن الجدير بالذكر أن الطريقة المستخدمة لتسريب البيانات في هذه الحالات اختلفت عن طريقة المجموعة الأولى، مما يشير إلى حملة منفصلة، وإن كانت شنيعة بنفس القدر.
تضمنت استراتيجية الحملة الثانية اتباع نهج أكثر مباشرة لجمع البيانات الحساسة. عند التنشيط، شرعت التعليمات البرمجية الضارة الموجودة في هذه الحزم في مهمة استطلاع شاملة، واستخراج معلومات مفصلة حول تكوين نظام المستخدم، وبيانات المستخدم الشخصية، وعلى وجه الخصوص، عنوان IP الخاص بالنظام. ويهدف جمع البيانات الشامل هذا إلى تجميع ملف كامل عن الضحية، مما يمهد الطريق لعمليات اقتحام محتملة أعمق أو هجمات مستهدفة.
ومن المهم التأكيد على أنه على الرغم من احتمالية ظهور هذه الحزم كجزء من أنشطة البحث الأمني المشروعة، مثل تلك التي تهدف إلى الكشف عن نقاط الضعف من خلال تكتيكات ارتباك التبعية، فإن الواقع يظل دون تغيير. ومن الممكن أن يتم تصميم هذه الحزم بنوايا خبيثة، حيث تقوم سرًا بجمع البيانات الحساسة ونقلها إلى كيانات خارجية غير مصرح بها
تنبيه خاص: الشذوذ djs13-fetcher وآثاره على الأمن السيبراني
وسط التدقيق في الحزم المذكورة أعلاه، قامت منصتنا بوضع علامة على شذوذ إضافي: حزمة اسمها djs13-الجلب. ويختلف هذا الاكتشاف تحديدًا عن الحالات السابقة، ليس فقط في طريقة عمله ولكن أيضًا في طبيعة التهديد الذي يشكله. djs13-الجلب تم تحديده على أنه بدء تسلسل التنزيل والتنفيذ لمرفق من Discord، وتحديدًا ملف ثنائي يسمى astroia.exe. عند الفحص الدقيق من خلال خدمة التحليل الآلي، حصل هذا الثنائي على أ درجة التهديد 85/100، وهو تصنيف يصنفها بشكل لا لبس فيه على أنها برامج ضارة.
يؤكد تشغيل djs13-fetcher والتنفيذ اللاحق لـ astroia.exe على وجود ناقل تهديد متطور ومتعدد الأوجه. تم تصميم الملف الثنائي المعني لتنفيذ سلسلة من الإجراءات التي تشير إلى وجود نية خبيثة عميقة الجذور:
- عمليات نظام التفريخ: تبدأ البرامج الضارة عمليات نظام متعددة عند التنفيذ، وهي تقنية تُستخدم غالبًا لتنفيذ المزيد من البرامج النصية الضارة أو لإنشاء موطئ قدم على النظام المصاب لحمولات إضافية.
- الاستعلام عن معلومات النظام: يقوم بإجراء استعلامات واسعة النطاق لمعلومات النظام. يهدف هذا الإجراء عادةً إلى جمع معلومات استخباراتية عن بيئة النظام، والتي يمكن استخدامها لتصميم الهجمات اللاحقة وفقًا لنقاط الضعف المحددة في النظام.
- أداء مناورات المراوغة: ربما يكون أبرزها أن astroia.exe تم تصميمه لتنفيذ استعلامات Windows Management Instrumentation (WMI) لاكتشاف ما إذا كان يعمل داخل جهاز ظاهري (VM). يعد هذا السلوك إجراء مراوغًا واضحًا، يهدف إلى تجنب الكشف والتحليل من قبل متخصصي الأمن السيبراني والأنظمة الآلية التي تستخدم عادةً الأجهزة الافتراضية لتحليل البرامج الضارة.
الوجبات الرئيسية
كان اكتشاف هذه الحزم العشر الخبيثة من نوع npm، إلى جانب الحالة الخاصة لـ djs13-fetcher، بمثابة إشارة مبكرة لنمط اتسع نطاقه منذ ذلك الحين إلى ما هو أبعد بكثير مما توقعه أي شخص في يناير 2024.
وقد أكد هذا الواقع، حتى في ذلك الوقت، الدور الذي لا غنى عنه لـ خدمة الإنذار المبكر من زيجينيصُممت خدمتنا لتحليل التهديدات المحتملة في حزم npm الجديدة والتنبيه إليها فور نشرها، وقد مثّلت قفزة نوعية في مجال الدفاعات الاستباقية للأمن السيبراني آنذاك، وازدادت أهميتها مع ازدياد حجمها. وذلك من خلال توفير الكشف المبكر عن مؤشرات الخبث، قبل وقت طويل من... standard بفضل إجراءاتنا، نُمكّن عملاءنا من حماية أنظمة برامجهم من التسلل المحتمل للبرامج الضارة قبل أن تُسبب أي ضرر. يعمل هذا النوع من الكشف الآن بشكل مستمر: اطلع على النتائج المؤكدة لهذا الأسبوع في تقريرنا ملخص التعليمات البرمجية الضارة.
يجب على المؤسسات إعطاء الأولوية لتطبيق بروتوكولات أمنية قوية، بدءًا من عمليات التدقيق المنتظمة للبرمجيات وصولًا إلى أدوات الكشف المتطورة، وذلك للحماية من الأساليب المعقدة التي يستخدمها الخصوم الإلكترونيون. زيجينيسنبقى commitلقيادة المسؤولية في هذه المعركة المستمرة، وتزويد شركائنا والمجتمع الأوسع بالمعرفة والأدوات اللازمة لدرء هذه التهديدات الخبيثة.
الأسئلة الشائعة
هل لا تزال حزم npm الخبيثة تشكل مشكلة متنامية في عام 2026؟
نعم، بشكل ملحوظ. وثّق هذا المنشور 10 حزم npm خبيثة تم العثور عليها خلال ثلاثة أيام في يناير 2024. ويؤكد ملخص Xygeni للبرمجيات الخبيثة الآن وجود ما بين 100 إلى 200 حزمة خبيثة أسبوعيًا عبر npm وPyPI، مما يدل على أن أساليب الاختراق والتهرب المحددة هنا قد توسعت بشكل كبير بدلاً من أن تختفي.
كيف يمكنني التحقق مما إذا كانت حزمة npm ضارة قبل تثبيتها؟
تحقق من تاريخ القائم بالصيانة، وتحقق من تواريخ النشر وعدد التنزيلات بحثًا عن أي شذوذ، واستخدم الفحص الآلي الذي يشير إلى أنماط التسريب والسلوك المراوغ، وليس فقط تطابقات CVE المعروفة، نظرًا لأن معظم الحزم الضارة، بما في ذلك جميع الحزم العشرة التي تمت تغطيتها هنا، كانت جديدة في وقت اكتشافها.
كيف يمكنني التحقق مما إذا كانت حزمة npm ضارة قبل تثبيتها؟
تحقق من سجل القائم بالصيانة، وتحقق من تواريخ النشر وعدد التنزيلات بحثًا عن أي شذوذ، واستخدم الفحص الآلي الذي يشير إلى أنماط التسريب والسلوك المراوغ، وليس فقط تطابقات CVE المعروفة، نظرًا لأن معظم الحزم الخبيثة مثل تلك الموجودة في هذا التقرير كانت جديدة وقت اكتشافها.
هل ما زال يتم العثور على حزم npm خبيثة جديدة بانتظام؟
نعم. زيجيني ملخص التعليمات البرمجية الضارة ينشر هذا التقرير حزم npm و PyPI الخبيثة المؤكدة حديثًا كل أسبوع؛ ولا تزال تقنيات الاختراق والتهرب من الأجهزة الافتراضية الموثقة في تقرير 2024 شائعة في الحزم المكتشفة اليوم.
