داخل هجوم Mini Shai‑Hulud على حزم npm مفتوحة المصدر

تعتمد بيئات الحزم مفتوحة المصدر مثل npm و PyPI على الثقة بين المطورين. فعند بناء تطبيق جديد، يقوم المطور عادة بتثبيت عشرات أو مئات المكتبات التي طورها أشخاص آخرون. هذه الثقة نفسها أصبحت هدفاً لهجمات سلسلة التوريد البرمجية.

حملة Mini Shai‑Hulud استغلت هذا الواقع عبر اختراق حسابات مطورين لديهم صلاحية نشر الحزم، ثم استخدام تلك الحزم الموثوقة لنشر برمجيات خبيثة إلى آلاف المشاريع التي تعتمد عليها.

الفكرة الأساسية: اختراق حسابات المالكين

بدلاً من رفع حزم خبيثة جديدة يسهل اكتشافها، ركز المهاجمون على اختراق حسابات المطورين الذين يملكون صلاحية نشر التحديثات. بعد الوصول إلى الحساب، يقوم المهاجم بنشر نسخة معدلة من الحزمة الأصلية تحتوي على كود خبيث.

وبما أن كثيراً من المشاريع تعتمد على تحديثات الحزم تلقائياً ضمن نطاقات الإصدار (semver)، فقد يتم تنزيل هذه النسخ المسمومة تلقائياً عندما يقوم المطور أو نظام CI بتنفيذ أمر عادي مثل

npm install

حادثة 19 مايو: مئات الإصدارات الخبيثة خلال دقائق

في 19 مايو 2026 تم اختراق حساب npm باسم atool. خلال نحو 22 دقيقة فقط، نشر المهاجمون 637 إصداراً خبيثاً عبر 317 حزمة باستخدام عملية نشر آلية سريعة.

من بين المكتبات المتأثرة:

• size-sensor
• echarts-for-react
• timeago.js
• العديد من حزم @antv/* التابعة لمنظومة AntV الخاصة بالرسوم البيانية والمرئيات البيانية من Alibaba

هذه المكتبات تستخدم في واجهات الويب وأدوات تحليل البيانات، وبعضها يحقق ملايين التنزيلات أسبوعياً. لذلك فإن اختراقها يمكن أن يمتد تأثيره إلى عدد كبير من المشاريع التي تعتمد عليها.

كيف تعمل البرمجية الخبيثة أثناء التثبيت

الكود الضار كان مخفياً داخل ملف JavaScript مُشوّه (obfuscated). ويتم تشغيله تلقائياً عند تثبيت الحزمة.

اعتمد المهاجمون على خطافات التثبيت (install hooks) مثل preinstall التي تسمح بتشغيل سكربت أثناء عملية تثبيت الحزمة. وبهذا يمكن تنفيذ الكود الخبيث بمجرد تثبيت التبعية.

كما رصد الباحثون أسلوباً ثانياً يعتمد على optionalDependencies تشير إلى تجزئات commit في GitHub. تسمح هذه الطريقة لـ npm بجلب محتوى من مستودع GitHub باستخدام معرف commit، حتى لو كان من fork يشارك نفس تاريخ Git مع المشروع الأصلي.

ماذا حاول المهاجمون سرقته؟

الهدف الأساسي للبرمجية كان سرقة بيانات الاعتماد (Credentials) من بيئات التطوير.

بعد التشغيل، يبدأ البرنامج بفحص الجهاز بحثاً عن أسرار قد تمنح المهاجمين وصولاً أوسع، مثل:

• رموز نشر npm
• رموز GitHub الشخصية
• مفاتيح AWS وAzure وGoogle Cloud
• بيانات الاتصال بقواعد البيانات
• مفاتيح API وتوكنات Slack
• مفاتيح SSH وملفات مصادقة Docker
• رموز Kubernetes وHashiCorp Vault

كما حاول استخراج بيانات من مخازن مديري كلمات المرور مثل 1Password وBitwarden وpass وgopass.

لنقل البيانات المسروقة خارج الجهاز، استخدمت البرمجية طريقتين أساسيتين:

• حفظ البيانات داخل كائنات Git في مستودعات عامة على GitHub
• إرسالها عبر طلبات HTTPS مشفرة تبدو وكأنها حركة Telemetry عادية

برمجية قادرة على الانتشار مثل الدودة

يصف الباحثون Mini Shai‑Hulud بأنها برمجية ذاتية الانتشار (Self‑propagating).

فبدلاً من الاكتفاء بسرقة البيانات، تحاول البرمجية استخدام الأسرار المسروقة للوصول إلى أنظمة أخرى. على سبيل المثال، إذا وجدت رموز نشر أو بيانات CI/CD، يمكن للمهاجمين استخدامها لنشر حزم خبيثة إضافية أو تعديل عمليات البناء الآلية.

هذا يحول كل جهاز أو خط بناء (CI pipeline) تم اختراقه إلى نقطة انطلاق لهجمات جديدة.

موجة سابقة استهدفت مكتبات TanStack

قبل حادثة npm الكبرى، ظهرت موجة أخرى من الهجوم في مايو 2026 استهدفت مكتبات TanStack، وهي مجموعة شهيرة من أدوات تطوير الواجهة الأمامية مثل مكتبات React.

تم تعديل بعض إصدارات هذه الحزم لإضافة كود خبيث يسرق أسرار CI/CD وبيانات المطورين، ما يسمح للمهاجمين بالتوسع إلى مستودعات أخرى.

وصول الهجوم إلى أجهزة موظفين في OpenAI

كان للهجوم أثر واقعي خارج مجتمع المصادر المفتوحة.

أعلنت OpenAI أن جهازين لموظفين لديها تأثرا عبر سلسلة التبعيات المرتبطة بمكتبة TanStack المخترقة.

ورصدت الشركة نشاطاً يتوافق مع سلوك البرمجية التي تحاول الوصول إلى بيانات اعتماد ومستودعات داخلية مرتبطة بالمستخدمين المتأثرين.

لكن التحقيق أكد أن:

• بيانات المستخدمين لم يتم الوصول إليها
• أنظمة الإنتاج لم تتعرض للاختراق
• الملكية الفكرية والبرمجيات المنشورة لم تتأثر

وكإجراء احترازي قامت الشركة بعزل الأجهزة المتأثرة، وإلغاء الجلسات، وتدوير بيانات الاعتماد، وتقييد عمليات النشر، وتحديث شهادات توقيع البرامج.

لماذا يعد هذا الهجوم مهماً؟

تكشف حملة Mini Shai‑Hulud عن اتجاه متزايد في عالم الأمن السيبراني: استهداف منظومة التطوير نفسها بدلاً من المستخدم النهائي.

أبرز ما يجعل هذا الهجوم خطيراً:

• اختراق حسابات مطورين موثوقين بدلاً من نشر حزم خبيثة جديدة
• نشر مئات الإصدارات الضارة خلال دقائق عبر عمليات آلية
• التركيز على سرقة بيانات اعتماد تسمح بالانتشار إلى مشاريع أخرى

وبما أن البنية التحتية البرمجية الحديثة تعتمد بشكل كبير على المكتبات مفتوحة المصدر، فإن اختراقاً قصيراً في حزمة شائعة قد يؤثر على آلاف المشاريع والأنظمة عبر سلاسل التبعيات.

لهذا السبب يركز خبراء الأمن حالياً على حماية ليس فقط التطبيقات النهائية، بل أيضاً سلسلة الأدوات والمطورين وأنظمة الأتمتة التي تُستخدم لبناء تلك التطبيقات.