كيف تسببت إضافة VS Code خبيثة في اختراق آلاف مستودعات GitHub

من تلك النقطة، استطاع المهاجمون:

• سرقة بيانات المصادقة مثل كلمات المرور أو رموز الجلسات النشطة
• استخدام هذه البيانات للوصول إلى أنظمة GitHub الداخلية
• الوصول إلى بيانات في نحو 3800 مستودع داخلي وسحب بعضها خارج الشبكة

المشكلة هنا أن الإضافات في VS Code غالباً ما تعمل بصلاحيات واسعة داخل بيئة التطوير، ما يسمح لها بالوصول إلى الملفات المحلية والرموز السرية والبيئة البرمجية للمطور.

من يقف وراء الهجوم؟

مجموعة تهديد تُعرف باسم TeamPCP أعلنت مسؤوليتها عن الاختراق، وزعمت أنها حصلت على كود المصدر الداخلي لـ GitHub وبعض بيانات التنظيمات الداخلية.

وتشير تقارير أمنية إلى أن المجموعة عرضت هذه البيانات للبيع في منتديات الجرائم الإلكترونية. ومع ذلك، لم تؤكد GitHub رسمياً نسبة الهجوم إلى جهة محددة في بيانها الأولي.

في السنوات الأخيرة، أصبحت TeamPCP معروفة بتنفيذ هجمات على سلسلة توريد البرمجيات تستهدف بيئات المطورين والأدوات المستخدمة في بناء التطبيقات.

كيف مكنت الإضافة الخبيثة المهاجمين من الدخول؟

الإضافات في محررات البرمجة ليست مجرد أدوات بسيطة؛ فهي غالباً تشغّل تعليمات برمجية محلياً وتملك صلاحيات للوصول إلى ملفات المشروع والرموز السرية.

في هذه الحادثة، تشير التقارير إلى أن الإضافة الخبيثة ربما قامت بـ:

• جمع رموز المصادقة وبيانات الدخول
• مراقبة بيئة التطوير على جهاز الضحية
• استخراج بيانات حساسة من المستودعات المحلية أو الجلسات النشطة

وبمجرد امتلاك بيانات اعتماد صحيحة أو جلسة نشطة، لم يكن المهاجمون بحاجة لاختراق بنية GitHub التحتية مباشرة. تمكنوا ببساطة من الدخول باستخدام صلاحيات الموظف نفسه.

هذا الأسلوب أصبح شائعاً في هجمات سلسلة التوريد: بدلاً من مهاجمة المنصة مباشرة، يتم اختراق بيئة المطور ثم الانتقال منها إلى الأنظمة الداخلية.

كيف استجابت GitHub؟

قالت GitHub إنها اكتشفت النشاط المشبوه بسرعة واحتوت الحادثة بعد ربطه بالإضافة الخبيثة. وشملت الإجراءات التي اتخذتها الشركة:

• إزالة النسخة الخبيثة من إضافة VS Code من المتجر
• عزل جهاز الموظف المصاب
• تدوير وتغيير بيانات الاعتماد الحساسة
• إطلاق تحقيق شامل للاستجابة للحادثة

كما ذكرت الشركة أنها تواصل مراقبة أنظمتها تحسباً لأي نشاط خبيث مرتبط بالاختراق.

هل تأثرت بيانات المستخدمين؟

حتى الآن، تشير نتائج التحقيق إلى أن الاختراق اقتصر على مستودعات GitHub الداخلية.

وأكدت الشركة أنه لا يوجد دليل على تأثر مستودعات العملاء أو حسابات المؤسسات أو بيانات المستخدمين المخزنة على المنصة.

وهذا فرق مهم لأن GitHub تستضيف كوداً لملايين المطورين والشركات حول العالم، لكن المستودعات المتأثرة كانت ضمن بيئة الشركة الداخلية فقط.

علاقة الحادثة بحملة “Mini Shai‑Hulud”

يرى باحثون في الأمن السيبراني أن الاختراق قد يكون جزءاً من حملة أوسع تُعرف باسم Mini Shai‑Hulud، وهي سلسلة هجمات على سلسلة توريد البرمجيات مرتبطة أيضاً بمجموعة TeamPCP.

استهدفت هذه الحملة عدة مكونات في بيئة تطوير البرمجيات، مثل:

• حزم npm الخاصة بجافاسكريبت
• مكتبات PyPI الخاصة ببايثون
• أنظمة CI/CD المستخدمة في بناء البرمجيات
• أدوات المطورين والإضافات البرمجية

وكان الهدف من الحزم الخبيثة سرقة الأسرار الرقمية مثل مفاتيح السحابة، ورموز CI/CD، وبيانات مصادقة المطورين، مما يسمح للمهاجمين بالتحرك داخل خطوط تطوير البرمجيات.

لماذا تُعد هذه الحادثة مهمة؟

حتى مع عدم تأثر بيانات العملاء، تكشف حادثة GitHub تحولاً واضحاً في طبيعة التهديدات الأمنية.

بدلاً من استهداف الخوادم مباشرة، أصبح المهاجمون يركزون على نقاط أضعف في المنظومة مثل:

• أجهزة المطورين
• المكتبات مفتوحة المصدر
• خطوط البناء الآلية CI/CD
• إضافات بيئات التطوير مثل VS Code

هذه البيئات غالباً ما تحتوي على مفاتيح وصول عالية القيمة يمكن استخدامها للوصول إلى الأنظمة الإنتاجية.

حادثة GitHub توضح كيف يمكن لأداة تطوير واحدة مخترقة أن تتحول إلى بوابة للوصول إلى آلاف المستودعات البرمجية — وهو ما يجعل أمن سلسلة التوريد البرمجية أحد أكبر التحديات أمام فرق التطوير الحديثة.