عندما أصبح هجوم Shai‑Hulud مفتوح المصدر: لماذا ظهرت موجة برمجيات خبيثة جديدة في npm

إتاحة الشفرة علنًا خفّضت العتبة التقنية للمهاجمين. فبدلًا من تطوير برمجية خبيثة من الصفر أو تحليل الهجوم عكسيًا، أصبح بإمكان أي جهة إعادة استخدام الإطار نفسه وتعديله لأهدافها الخاصة.

وبالفعل، خلال أيام قليلة بدأت تظهر حزم مشبوهة على npm تحاكي سلوك Shai‑Hulud أو تستخدم أجزاء من شفرته.

مسابقة BreachForums التي حولت الهجوم إلى لعبة

التصعيد لم يتوقف عند نشر الشفرة. فقد أعلن فريق TeamPCP بالتعاون مع منتدى القرصنة BreachForums عن مسابقة تقدم نحو 1000 دولار بعملة مونيرو لمن ينجح في اختراق أكبر عدد أو أكثر الحزم شعبية باستخدام Shai‑Hulud.

المشاركون كانوا يُقيَّمون وفق حجم التأثير — مثل عدد تنزيلات الحزمة المخترقة. هذا يعني أن استهداف المكتبات الشائعة أو سلاسل الاعتماد الكبيرة يمنح المهاجم نقاطًا أكثر.

وصف باحثو الأمن هذا النهج بأنه نوع من تحويل هجمات سلسلة التوريد إلى لعبة تنافسية، حيث يحاول عدة مهاجمين تنفيذ حملات متوازية باستخدام نفس الأداة.

ظهور سريع لحزم npm خبيثة مقلدة

بعد نشر الشفرة مباشرة تقريبًا، اكتشف الباحثون عدة حزم خبيثة جديدة في npm. ومن بينها أربع حزم رُصدت في أحد التحقيقات:

• chalk-tempalte
• @deadcode09284814/axios-util
• axois-utils
• color-style-utils

إحدى هذه الحزم احتوت نسخة غير مشفّرة من Shai‑Hulud، بينما تضمنت حزم أخرى أدوات لسرقة البيانات أو وظائف لإنشاء شبكات بوت نت.

سرعة ظهور هذه الحزم توضح مدى سرعة انتشار البرمجيات الخبيثة عندما تصبح الأداة الأساسية متاحة للجميع.

أسلوب Typosquatting: خداع المطورين بأسماء متشابهة

معظم الحزم المقلدة اعتمدت على تقنية تُعرف باسم typosquatting.

الفكرة بسيطة: ينشر المهاجم حزمة باسم يشبه جدًا اسم مكتبة شرعية، بحيث قد يخطئ المطور في الكتابة أو لا ينتبه للاختلاف البسيط أثناء تثبيت التبعيات.

أمثلة من هذه الحملة:

• chalk-tempalte الذي يشبه المكتبة المعروفة chalk-template
• axois-utils الذي يبدو قريبًا من مكتبات مرتبطة بـ axios

في بيئات التطوير الحديثة، تُثبَّت الحزم غالبًا تلقائيًا ضمن عمليات البناء أو عبر سلاسل التبعيات. وهذا يعني أن خطأ إملائي واحد قد يؤدي إلى تشغيل كود خبيث أثناء عملية التثبيت.

ماذا تستطيع برمجية Shai‑Hulud فعله؟

لا تُعد Shai‑Hulud مجرد حزمة خبيثة عادية، بل تتصرف كـ دودة تنتشر عبر سلسلة التوريد.

تحليلات الباحثين تشير إلى أنها قادرة على:

• سرقة بيانات الاعتماد من بيئات تطوير المطورين ومن أنظمة CI/CD
• استخراج رموز الوصول والأسرار من خدمات سحابية مثل AWS وGCP وAzure
• تسريب البيانات الحساسة إلى مستودعات GitHub يتحكم بها المهاجمون
• زرع أبواب خلفية في حزم أخرى إذا حصلت على رموز نشر خاصة بالمحافظين

في بعض الحوادث السابقة، استطاعت الدودة نشر إصدارات خبيثة تلقائيًا لأي حزمة npm يستطيع رمز النشر المسروق الوصول إليها، ما يسمح لها بالانتشار عبر النظام البيئي دون الحاجة إلى خادم قيادة مركزي.

لماذا يُعد هذا تصعيدًا كبيرًا في هجمات سلسلة التوريد؟

كانت حملة Shai‑Hulud مثيرة للقلق بالفعل بسبب سلوكها الشبيه بالديدان وتركيزها على بنية تطوير البرمجيات نفسها بدلًا من أجهزة المستخدمين النهائيين.

لكن عاملين جعلاها أكثر خطورة:

1. نشر إطار الهجوم كمصدر مفتوح

عندما أصبحت الشفرة متاحة للجميع، تحولت Shai‑Hulud من حملة يقودها فريق واحد إلى عدة هجوم يمكن لأي جهة استخدامها.

2. إضافة حافز مالي عبر مسابقة

المسابقة على BreachForums خلقت حافزًا مباشرًا لتجربة الهجوم على نطاق واسع وظهور موجة من المقلدين.

النتيجة أن نموذج التهديد تغيّر من مجموعة واحدة منظمة إلى عدد كبير من الجهات المستقلة التي تستخدم نفس الأداة في الوقت نفسه.

الدرس الأكبر لمنظومة البرمجيات مفتوحة المصدر

تكشف قضية Shai‑Hulud عن اتجاه متزايد في عالم الأمن السيبراني: المهاجمون يستهدفون الآن البنية التحتية لتطوير البرمجيات نفسها.

يشمل ذلك:

• مستودعات الحزم
• أنظمة CI/CD
• سير عمل النشر
• حسابات وبيانات اعتماد المطورين

بمجرد إدخال حزمة خبيثة إلى هذا النظام، يمكنها تنفيذ كود أثناء التثبيت، وتسريب الأسرار من أنظمة البناء، وربما إصابة كل مشروع يعتمد عليها لاحقًا.

والانتشار السريع للحزم المقلدة بعد نشر شفرة Shai‑Hulud يوضح مدى سرعة تضخم هجمات سلسلة التوريد عندما تصبح أدواتها متاحة علنًا.

بالنسبة للمدافعين، الرسالة واضحة: حماية البرمجيات اليوم لم تعد تعني حماية التطبيق فقط، بل تأمين كامل سلسلة تطوير البرمجيات التي تُنشئه.