باحثون يكتشفون 83 هجومًا على 61 مستودع GitHub في حملة يُشتبه بها على سلسلة التوريد

حدد باحثو Radware ما لا يقل عن 83 هجومًا استهدفت 61 مستودعًا عامًا على GitHub، بما في ذلك Google LangExtract وTrivy ومتصفح Brave وMLflow، فيما يشتبهون في أنه حملة منسقة لتنفيذ أوامر في بيئات CI/CD وسرقة بيانات الاعتماد ورموز الوصول. نُشر معظم العناصر الخبيثة، 77 من 83، خلال فترة زمنية مدتها 43 دقيقة في 1 سبتمبر، وظهرت الستة المتبقية خلال الدقيقتين التاليتين. ويقول الباحثون إن الهدف النهائي قد يكون هجومًا على سلسلة التوريد يحصل فيه المهاجم على بيانات اعتماد المستودع ويتمكن من تغيير الشيفرة.

كيف تعمل سلسلة الهجوم

اكتشف الباحثون الحملة أثناء التحقيق في حقن المطالبات في GitHub. ينشر المهاجم مشكلة أو طلب سحب أو تعليقًا يحتوي على أوامر خبيثة مخفية في تعليقات HTML، بحيث لا يكون المحتوى ظاهرًا في الصفحة المعروضة. يمكن لحدث في GitHub أن يشغّل سير عمل تلقائيًا إذا كان المستودع مهيأً للاستجابة لذلك الحدث. يُدرج سير العمل محتوى يتحكم فيه المهاجم مباشرةً في الشيفرة المصدرية للصدفة، وتنفذ الصدفة الأمر المخفي، الذي يجمع متغيرات البيئة ويحاول إرسالها إلى خادم يتحكم فيه المهاجم. فحص الباحثون السجلات من عمليات تشغيل فعلية ووجدوا حالتين فيهما دليل على أن الأمر الخبيث نُفذ داخل بيئة الأتمتة، لكنهم لا يستطيعون الجزم بما إذا كان المهاجم قد حصل على أذونات الكتابة في المستودع، أو عدّل الشيفرة المصدرية، أو اخترق برمجيات لاحقة.

وفقًا للباحثين، لا يحتاج المهاجم إلى اختراق المستودع أو الحصول على إمكانية الوصول إلى قاعدة شفرته البرمجية. في الأساس، يمكن لأي مستخدم يمتلك حساب GitHub أن يحاول تنفيذ هذا الهجوم، كما أن بدءه سهل جدًا. يشتبه الباحثون في أن فردًا واحدًا يقف وراء الحملة واستخدم 74 حسابًا مختلفًا على GitHub، وكان العديد منها يتمتع بسجلات تطوير شرعية ومن المرجح أنها قد اختُرقت.

المستودعات المتأثرة

اعتبارًا من 13 أكتوبر، حدّد صائدو التهديدات 83 عنصرًا على GitHub بحمولة تم التحقق منها عبر 61 مستودعًا مختلفًا. تشمل هذه المستودعات أطر عمل الذكاء الاصطناعي، وأدوات الأمان، والبنية التحتية للتطوير، وقواعد البيانات، وغيرها من مشاريع البرمجيات مفتوحة المصدر واسعة الاستخدام. ويسرد تقرير Radware كلاً من agno-agi/agno ((42.7K نجمة))، وToolJet/ToolJet (41.1K)، وgoogle/langextract (38.9K)، وaquasecurity/trivy (38.4K)، وCopilotKit/CopilotKit (38K)، وpodman-container-tools/podman (33K) ضمن الأكثر شعبية. ومن بين الأهداف البارزة الأخرى QwenLM/qwen-code (28.5K)، وmlflow/mlflow (28.4K)، وdiscordjs/discord.js (26.8K)، وcilium/cilium (25.6K)، وbrave/brave-browser (23.9K)، وdotnet/maui (23.3K)، وHomebrew/homebrew-cask (22.2K)، وgithub/docs (21K)، وapache/doris (16K)، وPX4/PX4-Autopilot (12.8K). وقال الباحثون إن هذه المشاريع تُستخدم من قبل آلاف المؤسسات.

كشف الباحثون عن نتائجهم لجميع القائمين على صيانة المشاريع، وأُغلقت معظم المستودعات أو جرى إصلاحها، لكنهم لا يستطيعون تأكيد أن جميعها كان كذلك. تأتي هذه الحملة في أعقاب عدة هجمات سابقة على سلسلة التوريد استهدفت أدوات الأمان والتطوير مفتوحة المصدر، إذ يبحث المهاجمون بشكل متزايد عن أساليب جديدة لسرقة بيانات الاعتماد وغيرها من الأسرار.

ما يمكن للمدافعين فعله

قال نائب الرئيس والباحث في Radware غابي ناكيبلي إنه لا توجد طريقة لمنع المهاجمين من المحاولة، والطريقة الوحيدة هي التأكد من أن كود سير العمل مرن وغير عرضة لمثل هذه الهجمات. ويوصي الباحثون بتطبيق وصول بأقل الامتيازات على سير عمل CI/CD وفصل سير العمل الذي تحفزه أحداث خارجية قدر الإمكان عن المهام ذات الأذونات المرتفعة. وقال الباحث زفيكا بابو إنه ينبغي للمطورين التعامل مع المحتوى الخارجي باعتباره غير موثوق وتقييد الأسرار والمتغيرات البيئية المتاحة لسير العمل.

المصادر: The Register