كيف تحوّلت حزم npm الموثوقة إلى بوابة لبرمجيات خبيثة تقودها معاملات إيثريوم فارغة؟

قيّمت أمازون نسبة هذه العمليات إلى المجموعة بدرجة ثقة متوسطة، ووصفتها بأنها جهة مدفوعة بدوافع مالية . أما تسلسل الاستهداف فكان كالتالي :

• typo-crypto — مارس 2025: يُرجَّح أن يكون الاختراق الأول بمثابة تجربة لتطوير الأساليب قبل الانتقال إلى هجمات أوسع .
• debug وchalk — سبتمبر 2025: تُعد الحزمتان من أكثر مكتبات npm استخداماً؛ إذ تحظى debug وحدها بمليارات التنزيلات أسبوعياً. استُهدف أحد مسؤولي صيانة الحزم عبر نطاق npm مزيّف يشبه النطاق الأصلي، ثم دُفعت شيفرة تستنزف محافظ العملات المشفرة ضمن ما لا يقل عن 18 إصداراً خبيثاً . وقدّرت أمازون أن الاختراق وصل إلى نحو 10% من بيئات الحوسبة السحابية خلال ساعتين من نشر الإصدارات .
• axios — مارس 2026: تُعد axios من أشهر مكتبات JavaScript لإرسال طلبات HTTP، وكانت تتجاوز 70 مليون عملية تنزيل أسبوعياً في ذلك الوقت . حمل الإصداران المسمّمان axios@1.14.1 وaxios@0.30.4 تبعية خبيثة نشرت حصان طروادة يتيح وصولاً عن بُعد .

لم تعتمد الحملة على ثغرات برمجية نادرة بالضرورة. فقد جمع المهاجمون بين الهندسة الاجتماعية، مثل بناء علاقة مع مسؤولي صيانة الحزم وسرقة بيانات اعتمادهم، وبين كود مولّد بالذكاء الاصطناعي صُمم للمراوغة وصعوبة الاكتشاف . كما أُدخلت التحديثات المسمّمة بحيث تنفذ، أثناء تثبيت الحزمة، برمجيات تسرق بيانات الاعتماد أو تستنزف محافظ العملات المشفرة من أجهزة المطورين .

وفي حادث منفصل، نسبت Microsoft Threat Intelligence بدرجة ثقة عالية هجوماً استهدف منظومة Mastra AI في 17 يونيو 2026 إلى المجموعة نفسها. وخلال نافذة زمنية لم تتجاوز 45 دقيقة، نُشرت أكثر من 140 حزمة متضررة .

ما تقنية NullReceiver؟

في أبحاث نُشرت بين 2 و4 أغسطس 2026، وثّق محللو OpenSource Malware تقنية جديدة للاتصال بخوادم التحكم والسيطرة، أطلقوا عليها اسم NullReceiver. وعُثر عليها داخل حزمتين إضافيتين من npm هما bianira-ui@1.27.0 وfluid-type-ui@2.0.8 .

تتنكر الحزمتان في صورة إضافات مشروعة لإطار Tailwind CSS، وترتبطان بحملة «Contagious Interview» . ويعمل الأسلوب على النحو الآتي :

1. تتضمن البرمجية الخبيثة عنوان محفظة إيثريوم ثابتاً هو 0xa322e5f3d311d3080e6f0121063e9adc2490ef1a .
2. عند التشغيل، تستعلم البرمجية من سلسلة كتل إيثريوم عن أحدث معاملة صادرة من تلك المحفظة.
3. تقرأ عنوان الوجهة في أحدث تحويل بقيمة صفر، ومن دون أي بيانات إضافية.
4. تُفكك بايتات عنوان الوجهة لتتحول إلى عنوان IP الخاص بخادم التحكم والسيطرة في المرحلة التالية.

بعبارة أخرى، لا يحتوي الكود على نطاق مشبوه أو عنوان IP ثابت، ولا يضع عنوان الخادم داخل حقل بيانات واضح في المعاملة. بدلاً من ذلك، تُستغل خانة عنوان المستلم نفسها لحمل المعلومة المشفرة.

لماذا يصعب اكتشاف الأسلوب؟

تبدو المعاملة الصفرية وكأنها نشاط عادي على شبكة إيثريوم: تحويل إلى عنوان آخر من دون قيمة مالية ومن دون نص أو حمولة بيانات. لذلك لا تظهر المؤشرات التقليدية التي تعتمد عليها أدوات التحليل الساكن أو أنظمة حجب النطاقات.

يُنظر إلى NullReceiver بوصفه تطوراً لأسلوب EtherHiding. ففي الأساليب السابقة، كان المهاجمون يخفون الكود أو بيانات الاتصال داخل بيانات المعاملة أو عقد ذكي على سلسلة الكتل. أما هنا، فنُقلت «الرسالة السرية» إلى عنوان المستلم نفسه، ما يقلل البصمة الجنائية الثابتة ويجعل حركة الاتصال أقرب إلى نشاط بلوك تشين اعتيادي .

كيف قيّمت شركات الأمن الحملة؟

تتقاطع نتائج عدة جهات أمنية كبرى حول إسناد هذه الأنشطة إلى Sapphire Sleet، مع اختلاف درجات الثقة ونطاق كل تحقيق:

• قالت Amazon Threat Intelligence إن مؤشرات خوادم التحكم، وإعادة استخدام الكود، وخطافات ما بعد التثبيت، وأساليب أخرى مشتركة تربط اختراقات الحزم الأربع بحملة واحدة، مع ثقة متوسطة .
• نسبت Microsoft Threat Intelligence بدرجة ثقة عالية هجوم Mastra AI إلى Sapphire Sleet ، كما نسبت إليها اختراق axios، ووثّقت حملات تستهدف أجهزة macOS باستخدام طُعم تحمل هوية Microsoft Teams .
• نسبت Google Threat Intelligence هجوم axios إلى الجهة نفسها، التي تتتبعها باسم UNC1069 .
• حذّرت جهات حكومية أميركية وهيئات أمن سيبراني حليفة بصورة متزايدة من عمليات سرقة العملات المشفرة المرتبطة بكوريا الشمالية عبر اختراقات سلسلة توريد البرمجيات مفتوحة المصدر . وتشير تقديرات TRM Labs إلى أن كوريا الشمالية استحوذت على 76% من قيمة عمليات اختراق العملات المشفرة في عام 2026، لكن هذا الرقم لا ينسب القيمة كلها إلى هجمات npm محل البحث .

وبحسب الأدلة المتاحة، لم يظهر تصريح علني مباشر من الحكومة الكورية الشمالية ينفي تحديداً اتهامات Sapphire Sleet أو تقنية NullReceiver. ورغم أن بيونغ يانغ تنفي عادةً اتهامات الهجمات السيبرانية المدعومة من الدولة عبر القنوات الدبلوماسية، فإن نفياً مباشراً لهذه الحملات بعينها لم يرد في مجموعة الأدلة المستخدمة هنا.

ما الذي ينبغي أن يفعله المطورون وفرق الأمن؟

تكشف هذه الحوادث أن الاعتماد على اسم الحزمة أو سمعة مسؤول صيانتها لا يكفي. فالحزمة المشروعة قد تتحول إلى نقطة دخول بمجرد اختراق حساب الناشر، كما أن حظر النطاقات أو البحث عن عناوين IP ثابتة لن يرصد بالضرورة أسلوب NullReceiver.

وتشمل الإجراءات الموصى بها عبر مصادر متعددة :

• الاحتفاظ بقائمة مكونات البرمجيات (SBOM) واضحة، ومراقبة التغييرات غير المتوقعة في التبعيات.
• تطبيق فترة عزل للحزم الجديدة؛ أي تجنب تثبيت الإصدارات المنشورة خلال آخر 24 إلى 72 ساعة عندما تسمح طبيعة المشروع بذلك.
• تعطيل سكريبتات دورة الحياة، ولا سيما سكريبتات ما بعد التثبيت، حيثما أمكن، وتثبيت الإصدارات بصورة حتمية وقابلة لإعادة الإنتاج.
• تقييد التحديثات التلقائية، ومراجعة الاتصالات الشبكية غير المعتادة الصادرة من أجهزة المطورين وأنظمة البناء.
• التعامل مع الاشتباه في اختراق تبعية على أنه خطر أوسع يطال بيانات الاعتماد والبيئة كاملة: عزل الأنظمة المتأثرة، وتدوير الأسرار ومفاتيح API، ومراقبة أي نشاط لاحق.

الدرس الأهم هو أن سلسلة التوريد البرمجية لا تتوقف عند المستودع أو مدير الحزم. فكل تحديث يمر عبر بيئة التطوير قد يمنح المهاجم فرصة للوصول إلى مفاتيح API، والرموز المميزة، والمحافظ الرقمية، أو البنية السحابية. ومع NullReceiver، أصبح على فرق الأمن أن تراقب أيضاً كيف تستخدم البرمجيات سلسلة الكتل للوصول إلى بنيتها التحتية، لا ما إذا كانت تتصل بنطاق مشبوه فحسب.