دودة سلّحت 42 مستودع GitHub بإخفاء حمولة أكبر من أن تفشل

قال باحثو JFrog إن دودة npm من عائلة Miasma، التي ظُنّ في البداية أنها مجرد اختبار بلا ضحايا، سلّحت سرًا 42 مستودع GitHub حقيقيًا يملكها 11 مالكًا. واختطفت الحملة حسابات في وقت مبكر يعود إلى يوليو، واستخدمت حمولات خفية صُممت لتبقى بعيدة عن أعين GitHub والماسحات الآلية. وقال JFrog إن كتل الحمولة بلغت 12.9 إلى 13.7 MB، وهو حجم كبير بما يكفي لتفادي بحث الشيفرة في GitHub.

من اختبار إلى ضحايا حقيقيين

رصدت SafeDep لأول مرة حملة npm المسماة 'testmetest' الأسبوع الماضي، وحددت 18 حزمة مرتبطة بالمشغل نفسه بين 19 أكتوبر و25 أكتوبر، بما في ذلك إصدارات تحتوي على برمجيات خبيثة تسرق بيانات الاعتماد. وكما في ديدان npm السابقة، فإن البرمجية الخبيثة تنسخ نفسها، وتسرق بيانات الاعتماد، وتثبّت أداة محو تحذف الدليل الرئيسي عندما يلغي الضحية رمز GitHub المسروق. وحتى 22 أكتوبر، لم تجد SafeDep أي حزم طرف ثالث مخترقة أو ضحايا، وقالت إن كل النشاط المرصود كان يخص حسابات اختبار تابعة للمشغل نفسه. لكن تقرير JFrog الصادر يوم الاثنين قال إن تحليله أثبت عكس ذلك، ووجد أن المشغل كان قد سلّح بالفعل مستودعات حقيقية تخص مطورين ومؤسسات راسخة.

كيف عملت الهجمات

زرع المهاجمون خطافات تنفيذ لمساعدي البرمجة بالذكاء الاصطناعي وأدوات التطوير، بما في ذلك Claude وGemini وCursor وVS Code، إلى جانب أغلفة متعددة الأشكال قياسها 12.9 إلى 13.7 MB تفك شيفرة حمولة ناشر CI مخفية. وبشكل منفصل، تسرق دودة npm بيانات الاعتماد، وتعدل المستودعات وإعدادات CI، وتنتشر عبر حزم npm. وتستخدم البرمجية الخبيثة أيضًا إضافة أصلية مترجمة لفك تشفير حمولة منفصلة وتشغيلها. وقبل التنفيذ، يفحص المحمل بيئات تشغيل CI والحاويات والصناديق الرملية وأدوات التصحيح وغيرها من علامات التحليل الآلي، ويخرج بصمت عند اكتشافها لتقليل احتمال رصده بواسطة الماسحات الأمنية.

بناء ثانٍ وحملات مرتبطة

وجد الباحثون أيضًا بناءً ثانيًا يتخطى الملف المشفر. إذ يتفرع وينفصل ويشغّل أمرًا مضمّنًا بشكل ثابت يسحب محملًا من مستودع على حساب GitHub الخاص بالمشغل. وقد استضاف ذلك الحساب، CementBeetleSteeple، 17 مستودعًا للحملة إجمالًا. وربط JFrog هذا الحساب بماسح shellpanel وثقه Socket سابقًا في حملة واسعة النطاق استغلت GitHub Actions في مستودعات مخترقة لاستغلال CVE-2026-41940 وسرقة بيانات اعتماد الخوادم.

CVE-2026-41940 هو تجاوز للمصادقة يؤثر في cPanel وWHM. وأضافته CISA إلى كتالوج الثغرات المعروفة المستغلة في أبريل، ومنذ ذلك الحين نشرت cPanel نسخًا مصححة. وقال JFrog إن البنية التحتية لـ C2 كان قد أبلغ عنها Socket سابقًا، وإن نتائجه تربطها بمجموعة ضحايا testmetest على GitHub عبر عناصر أثرية وسير عمل على المالكين المخترقين أنفسهم. ووجد الباحثون 42 مستودع GitHub مسلحًا، ومحاولة استغلال على نطاق الإنترنت، لكنهم لم يؤكدوا أي اختراقات لاحقة لـ cPanel.

المصادر: The Register