ملخص شهري للبرامج الخبيثة: سبتمبر

أهلاً بكم في عدد شهر سبتمبر من نشرة Xygeni Malicious Code Digest. أكد فريق أبحاث الأمن لدينا هذا الشهر وجود 104 حزمة ضارة عبر npm و PyPI، والتي تم تتبعها عبر أربعة ملخصات أسبوعية.

تميز شهر سبتمبر بثلاثة اتجاهات متقاربة: حملات استمرت مباشرة من شهر أغسطس وواصلت رغم عمليات الإزالة؛ وارتباك واسع النطاق بشأن التبعيات، حيث ادعت عشرات الحزم أرقام إصدارات مبالغ فيها مثل 99.0.0 و 19999.x لاختطاف مساحات الأسماء الخاصة؛ وتحرك واضح نحو أنظمة المكونات الإضافية والأتمتة التي يثق بها المطورون مع الوصول المميز، مثل Strapi و n8n و MCP.

من أبرز الحملات التي تم توثيقها هذا الشهر:

• استخدم مشغل مضاد للمراقبة يحذف نفسه تلقائيًا عاد في الأول من سبتمبر، مع amicat, bmcat, eyevox و moidevh تم تأكيد ذلك إلى جانب اسمين جديدين من نفس الأصل، moidevk و moidevl.
• ظلت مكتبة Baileys، وهي مكتبة واجهة برمجة تطبيقات الويب الخاصة بتطبيق WhatsApp والتي تم انتحال هويتها طوال شهر أغسطس، عرضة للهجوم: cloud-baileys وصلت إلى إصدارات 1.1.37 و 1.1.38 في الأسبوع الأول و 1.1.41 بحلول 19 سبتمبر، مما يجعلها واحدة من أطول عمليات انتحال الشخصية التي قمنا بتتبعها.
• نشرت حملة مكونة من 21 حزمة (من 15 إلى 17 سبتمبر) إضافات Strapi مزيفة تحت علامة "meeb"، جميعها بنفس الإصدار. 3.6.8إلى جانب حزم مصاحبة تحمل أسماء مثل os-info-meeb322k و fs-pwn-meeb322k.
• عبوة واحدة، @nimbusedge/authتم شحن 39 نسخة في يوم واحد (11 سبتمبر)، جميعها مرقمة. 19999.x لذا ستتفوق على أي نسخة داخلية شرعية.
• كانت تظهر كل أسبوع حزم برامج مربكة تحمل أسماء شركات وأسماء داخلية: etoro-cashout, etoro-analytics و etoro-aggregator (سبتمبر 11) ، concierge-sdk at 99.99.99 (سبتمبر 13) ، @traktis/core (سبتمبر 17) ، و @dbbhk/ui-components, @siriusbeyond/* و @alphaspace/core at 99.x في الأسبوع الأخير من الشهر.
• بدأ مشغل "siriusbeyond" بحزمة واحدة غير محددة النطاق في 20 سبتمبر، ثم عاد بعد أربعة أيام كمجموعة محددة النطاق (@siriusbeyond/auth, /ui, /utils)، نفس العلامة التجارية ولكن بتغليف داخلي.
• تكررت عقد سير العمل المزيفة من نوع n8n طوال الشهر، بما في ذلك n8n-nodes-sysdiag2, n8n-nodes-buildcheck و n8n-nodes-data-transformer-utilsواستمراراً لنمط شوهد لأول مرة في أغسطس.
• عميل MCP، mcp-consultasdeveiculos-clientتم نشرها في ثلاث نسخ في يوم واحد (4 سبتمبر)، وهو تذكير بأن طبقة أدوات الذكاء الاصطناعي أصبحت الآن جزءًا من سلسلة التوريد نفسها.
• ست نسخ مرقمة من simple-date-formatter-new-* (11 إلى 16) تم نشرها في 25 سبتمبر، وهي عبارة عن سلسلة من الرسائل النصية المصممة لاختبار أي الأسماء ستصل.

النمط المميز لشهر سبتمبر: لم يعد المهاجمون يكتفون باستعارة الأسماء الموثوقة، بل يستعيرون أيضاً المناصب الموثوقة. فالمكونات الإضافية، وعُقد سير العمل، وعملاء MCP، ومساحات أسماء الحزم الخاصة، جميعها تعمل بصلاحيات وصول أوسع من تلك التي يتمتع بها التبعية العادية، وهي تحديداً ما ركزت عليه حملات سبتمبر.

فيما يلي ملخص لما توصلنا إليه. يمكنك الاطلاع على بيانات الأسابيع الأربعة كاملةً بالتفصيل على الموقع الإلكتروني التالي: فهرس ملخصات البرامج الخبيثة.