هجوم سلسلة التوريد على إضافة Nx Console في VS Code

وأشار فريق Nx إلى أن عدد المستخدمين المتأثرين كان قليلًا جدًا، لكنه لم يكن صفرًا، لذلك يجب على أي شخص قام بالتثبيت أو التحديث خلال تلك الفترة اعتبار جهازه معرضًا للاختراق حتى يثبت العكس.

كيف عملت الإضافة الخبيثة

بعد تثبيت الإضافة، كانت تبدو طبيعية في البداية. لكن بمجرد فتح أي مشروع داخل المحرر، كانت تقوم بتنفيذ منطق خبيث مخفي.

اكتشف الباحثون الأمنيون أن الإضافة تقوم بتنزيل وتشغيل حمولة مشفّرة ومموّهة بحجم يقارب 498 كيلوبايت من موقع مخفي داخل بنية مستودع Nx على GitHub.

هذه الحمولة كانت عبارة عن برنامج متعدد المراحل لسرقة بيانات الاعتماد موجه خصيصًا لبيئات تطوير البرمجيات.

أنواع البيانات التي استهدفتها البرمجية

البرمجية بحثت في الملفات المحلية ومتغيرات البيئة عن معلومات حساسة شائعة في أجهزة المطورين، منها:

• رموز الوصول الخاصة بـ GitHub وأسرار GitHub Actions
• رموز npm وبيانات تبادل OIDC
• بيانات اعتماد AWS وبيانات IAM
• إعدادات Kubernetes وبيانات الوصول إلى العناقيد
• رموز HashiCorp Vault
• مفاتيح SSH الخاصة
• بيانات اعتماد Docker
• بيانات اعتماد Google Cloud
• مفاتيح API وسلاسل الاتصال
• بيانات مخزن 1Password إذا كانت جلسة op نشطة

بعد جمع هذه المعلومات، كانت تُرسل إلى المهاجمين عبر:

• طلبات HTTPS
• واجهة GitHub API
• قنوات تعتمد على DNS

وهذه الطرق تسمح بإخراج البيانات المسروقة بسرعة من الجهاز المصاب.

آليات البقاء التي زرعتها البرمجية

لم تكتفِ البرمجية بسرقة البيانات، بل حاولت أيضًا الحفاظ على وصول دائم للنظام.

من المؤشرات التي ذكرها التنبيه الأمني إنشاء ملفات بقاء مثل:

• ~/.local/share/kitty/cat.py

• ~/Library/LaunchAgents/com.user.kitty-monitor.plist

• /var/tmp/.gh_update_state
• ملفات مؤقتة على شكل /tmp/kitty-*

كما قد تظهر:

• عملية Python تشغّل الملف cat.py
• عمليات تحتوي على متغير البيئة __DAEMONIZED=1

ويختلف أسلوب البقاء حسب نظام التشغيل:

• macOS: يتم إنشاء LaunchAgent ليعمل تلقائيًا عند تشغيل النظام.
• Linux: حاولت البرمجية تعديل إعدادات النظام مثل إدخال تغييرات في sudoers لضمان الاستمرار.

هذه الأساليب تسمح للمهاجم بالبقاء داخل الجهاز حتى لو تم حذف الإضافة نفسها.

لماذا هذا الهجوم مهم

هذا الحادث لا يُعد حالة منفردة.

في أغسطس 2025 تعرضت منظومة Nx لهجوم سلسلة توريد كبير عندما نشر مهاجمون نسخًا خبيثة من حزم nx وبعض الإضافات على npm. تلك الحزم كانت تفحص النظام المحلي وتجمع بيانات اعتماد ثم ترفعها إلى مستودعات GitHub يسيطر عليها المهاجمون.

الهجوم الجديد يؤكد اتجاهين واضحين في الأمن السيبراني:

• أجهزة المطورين أصبحت هدفًا عالي القيمة لأنها تحتوي غالبًا على مفاتيح سحابية وأسرار CI/CD وصلاحيات الوصول إلى المستودعات.
• هجمات سلسلة التوريد تستهدف أدوات التطوير نفسها مثل الإضافات ومديري الحزم وأنظمة البناء.

في هذه الحالة، أفاد فريق Nx أن الإصدار الخبيث نُشر باستخدام بيانات اعتماد GitHub مخترقة لأحد المطورين، ما سمح للمهاجم بتجاوز آليات النشر المعتادة.

من قد يكون تأثر بالهجوم

قد يكون المستخدمون معرضين للخطر إذا قاموا بتثبيت أو تحديث الإضافة إلى الإصدار 18.95.0 خلال الفترات التالية:

• Visual Studio Marketplace: 18 مايو 2026 بين 12:30 و12:48 UTC
• OpenVSX Registry: 18 مايو 2026 بين 12:33 و13:09 UTC

يشمل ذلك مستخدمي:

• Visual Studio Code
• المحررات المبنية على VS Code
• البيئات التي تستخدم OpenVSX لتثبيت الإضافات

أي جهاز قام بتثبيت الإصدار خلال تلك الفترة يجب اعتباره قد تعرض لاستخراج بيانات الاعتماد.

مؤشرات الاختراق (IOCs)

ينبغي التحقق فورًا من النظام بحثًا عن العلامات التالية:

• وجود Nx Console الإصدار 18.95.0 مثبتًا خلال نافذة الهجوم
• الملف ~/.local/share/kitty/cat.py
• الملف

  ~/Library/LaunchAgents/com.user.kitty-monitor.plist

• الملف /var/tmp/.gh_update_state
• ملفات مؤقتة تطابق /tmp/kitty-*
• عملية Python تشغّل cat.py
• عمليات تحتوي على المتغير __DAEMONIZED=1

وجود أي من هذه المؤشرات يعني أن الجهاز قد يكون مخترقًا.

خطوات المعالجة الفورية

إذا كان هناك احتمال للتعرض، ينصح الخبراء باتخاذ الإجراءات التالية فورًا:

1. تحديث Nx Console إلى الإصدار 18.100.0 أو أحدث.
2. إيقاف أي عملية خبيثة مثل cat.py أو عمليات تحتوي __DAEMONIZED=1.
3. حذف ملفات البقاء المذكورة سابقًا.
4. في macOS يجب إلغاء تحميل LaunchAgent قبل حذفه:

5. تدوير جميع بيانات الاعتماد التي يمكن الوصول إليها من الجهاز، مثل:

• رموز GitHub
• مفاتيح SSH
• مفاتيح API
• بيانات اعتماد مزودي السحابة
• رموز CI/CD

6. مراجعة سجلات التدقيق (Audit Logs) في GitHub ومزودي السحابة وأنظمة CI للكشف عن أي نشاط غير طبيعي.

إذا تم التأكد من الاختراق، فإن الإجراء الأكثر أمانًا غالبًا هو إعادة بناء الجهاز بالكامل (Reimage) من بيئة نظيفة ثم استعادة البيانات بأمان.

الدرس الأمني الأوسع

الحادث يوضح حقيقة متزايدة في تطوير البرمجيات الحديثة: سلسلة التوريد البرمجية لم تعد تقتصر على المكتبات والحزم فقط، بل تمتد إلى أدوات المطورين نفسها.

الإضافات، وأنظمة البناء، ومديرو الحزم يمتلكون وصولًا واسعًا إلى الشفرة والأسرار والبنية التحتية—ما يجعلها أهدافًا مثالية للمهاجمين.

وفي كثير من الحالات، حتى بضع دقائق من التعرض قد تكفي لسرقة بيانات حساسة من بيئة تطوير واحدة.