أهلاً بكم في عدد شهر أغسطس من نشرة Xygeni Malicious Code Digest. أكد فريق أبحاث الأمن لدينا هذا الشهر وجود 407 حزمة ضارة عبر npm و PyPI و OpenVSX (سوق ملحقات VS Code)، والتي تم تتبعها عبر أربعة ملخصات أسبوعية.
تميز شهر أغسطس بثلاثة اتجاهات متقاربة: حملة انتحال شخصية مستمرة استهدفت مكتبة مفتوحة المصدر شهيرة واحدة، وصمدت أمام محاولات إزالة متعددة؛ ومجموعات منسقة تستخدم "نفس الإصدار، نفس اليوم" عبر عشرات أسماء الحزم التي يُفترض أنها غير مرتبطة، وهي بصمة مشغلين منفردين يديرون جبهات متعددة في وقت واحد؛ وتحول نحو محاكاة الأسماء الحقيقية الموثوقة، وبروتوكولات التمويل اللامركزي، وأدوات جوجل مفتوحة المصدر، و enterprise الحزم الداخلية، بدلاً من أسماء عشوائية عامة.
من أبرز الحملات التي تم توثيقها هذا الشهر:
- الأسوارتم انتحال هوية مكتبة WhatsApp Web API الشهيرة مفتوحة المصدر بشكل مستمر على مدار ثلاثة أسابيع منفصلة تحت أربعة أسماء مستعارة مختلفة (
@mrlegendbot/baileys,cloud-baileys,@vanzxy/baileys,ourin-baileys) ، معcloud-baileysأُعيد نشرها وحدها خمس مرات على الأقل بين منتصف ونهاية شهر أغسطس. - QuietPolyfill عادت حملة تثبيت حزم npm الأصلية المكونة من 20 حزمة للظهور تحت أسمائها الأصلية،
beaver-ui-drawer,accounts-timeline,accounts-final-form,bcore-bravo-eslint-configوآخرون، تم تأكيدهم في الفترة من 1 إلى 3 أغسطس. - A موجة من أكثر من 25 حزمة برمجية تضرب OpenVSX في يوم واحد (2 أغسطس)، انتحال شخصيات إضافات المطورين الحقيقية عبر ESLint وRails وWordPress وعشرات الأدوات الأخرى.
- A مجموعة DeFi مكونة من 17 حزمة (11 أغسطس) انتحلت شخصيات Camelot و Aerodrome Finance و permit2 ومكتبات عقود OpenZeppelin، وكلها نُشرت في أزواج إصدارات متطابقة في غضون ساعات.
- مجموعة لافتة للنظر (13 أغسطس) أدوات جوجل الأصلية مفتوحة المصدر التي تم انتحالها بشكل خاطئ:
gaarf,magika-js,bazeliskوسلسلة من*-webdriver-cliحزم، 20 حزمة تعتمد على أسماء أدوات حقيقية في يوم واحد. - A انتحلت مجموعة مكونة من 21 حزمة شخصية أليلو، وهي شركة مدفوعات برازيلية (14 أغسطس)، شكل محاولة مستهدفة لإحداث ارتباك في التبعية ضد مساحة الاسم الداخلية لإحدى المنظمات.
- A مجموعة من سبع باقات تحمل علامات تجارية للتجارة الإلكترونية (24 أغسطس) نُشر تحت نفس النسخة
99.0.1في نفس اليوم. - تكررت الحزم ذات الطابع التوثيقي تحت خمسة اصطلاحات تسمية مختلفة خلال النصف الثاني من الشهر:
totp-utils,secretkey-2fa,secretkey2fa,2fa-secretkeyوauth-otp.
النمط المميز لشهر أغسطس: يقوم المهاجمون بشكل متزايد بتقليد الأسماء التي تحمل بالفعل الثقة، والبروتوكولات الحقيقية، والأدوات الحقيقية، واتفاقيات الحزم الداخلية الحقيقية، بدلاً من أسماء الحشو العامة، ويفعلون ذلك في دفعات ضيقة وفي نفس اليوم مصممة للتحرك بشكل أسرع من المراجعة اليدوية.
فيما يلي ملخص لما توصلنا إليه. يمكنك الاطلاع على بيانات الأسابيع الأربعة كاملةً بالتفصيل على الموقع الإلكتروني التالي: فهرس ملخصات البرامج الخبيثة.
الأسبوع 4: تم اكتشاف أكثر من 53 حزم
الأسبوع 3: تم اكتشاف أكثر من 34 حزم
الأسبوع 2: تم اكتشاف أكثر من 114 حزم
الأسبوع 1: تم اكتشاف أكثر من 206 حزم
من بايليز إلى التمويل اللامركزي: ما تكشفه هجمات سلاسل التوريد في أغسطس
لم تعد الحملات المذكورة أعلاه حالات استثنائية، بل أصبحت هي القاعدة السائدة. انتحال مستمر لهوية مكتبة موثوقة واحدة، وإصدارات متزامنة عبر عشرات الأسماء التي تبدو غير مترابطة، ومهاجمون يقلدون بروتوكولات التمويل اللامركزي الحقيقية، وأدوات جوجل الحقيقية، و... enterprise مساحات الأسماء بدلاً من البيانات العامة غير الضرورية، كل ذلك يؤثر على الفرق الحقيقية بشكل فعلي SDLCيتم ذلك أسبوعياً، وغالباً بدون وجود أي عنصر بشري في عملية النشر والتثبيت.
زيجيني الكشف عن البرامج الضارة و منصة أمن سلسلة التوريد تمنح هذه الأداة المؤسسات رؤية شاملة تمكنها من اكتشاف التبعيات الخبيثة قبل تنفيذها على أجهزة المطورين، أو دخولها إلى أنظمة البناء، أو وصولها إلى بيئة الإنتاج. وتغطي هذه الأداة منصات npm وPyPI وOpenVSX وغيرها، حيث ترصد أنماط النشر المشبوهة، وإساءة استخدام مساحات الأسماء، وانتحال أسماء النطاقات، وتقنيات الهجوم القائمة على الذكاء الاصطناعي فور ظهورها.
يتم تحديد أولويات كل اكتشاف تلقائيًا بناءً على إمكانية الاستغلال، وإمكانية الوصول، وتأثيره على الأعمال، لذلك يركز فريقك على ما يحتاج إلى إصلاح فعلي، وليس على الضوضاء.
استكشف جميع الحزم والحملات الخبيثة التي تم التحقق منها بواسطة فريق أمن Xygeni في ملخص التعليمات البرمجية الضارة.
ابقَ آمنًا. ابقَ سريعًا. تحكّم في الأمور مع Xygeni.
