اختراق GitHub: إضافة VS Code خبيثة سمحت بسرقة آلاف المستودعات الداخلية

نقطة الدخول كانت إضافة ملوثة لمحرر VS Code، وهو أحد أشهر أدوات كتابة وتحرير الشيفرة البرمجية التي يستخدمها ملايين المطورين حول العالم.

بحسب التحقيق، قام أحد موظفي GitHub بتثبيت الإضافة على جهاز العمل. هذه الإضافة احتوت على شيفرة خبيثة سمحت للمهاجمين بالوصول إلى الجهاز ومنه إلى الأنظمة الداخلية للشركة. بعد ذلك تمكنوا من استنساخ آلاف المستودعات الداخلية المرتبطة بالبنية التحتية وعمليات التطوير الخاصة بـ GitHub.

وقالت الشركة إنها قامت بعد اكتشاف الحادثة بعدة إجراءات فورية، منها:

• اكتشاف الاختراق واحتواؤه بسرعة
• إزالة الإضافة الخبيثة من متجر إضافات VS Code
• عزل جهاز الموظف المتأثر
• إطلاق تحقيق أمني داخلي كامل

ووفق التقييم الحالي للشركة، فإن النشاط أدى إلى تسريب مستودعات GitHub الداخلية فقط دون أن يمتد إلى بيانات العملاء.

ماذا عن بيانات المستخدمين والعملاء؟

أكدت GitHub في تصريحاتها الرسمية أنه لا يوجد حتى الآن دليل على تأثر بيانات العملاء أو المستودعات المستضافة على المنصة خارج أنظمتها الداخلية.

وهذا يعني حتى الآن:

• لم يتم تأكيد اختراق مستودعات المستخدمين العامة أو الخاصة
• لم تُسجَّل تقارير عن تسريب بيانات عملاء الشركات
• التأثير المعروف يقتصر على الشيفرة الداخلية الخاصة بـ GitHub

مع ذلك، شددت الشركة على أن التحقيق ما يزال مستمرًا وأن فرق الأمن تراقب أي نشاط لاحق قد يرتبط بالحادثة.

مجموعة TeamPCP تعلن مسؤوليتها

بعد انتشار الخبر، أعلنت جهة تهديد إلكترونية تُطلق على نفسها اسم TeamPCP مسؤوليتها عن الاختراق. وبحسب تقارير أمنية، نشرت المجموعة إعلانًا في أحد منتديات الجرائم الإلكترونية تعرض فيه الوصول إلى الشيفرة الداخلية وبيانات تنظيمية تخص GitHub.

ويربط بعض الباحثين في الأمن السيبراني هذه المجموعة بكيان تهديد يُعرف باسم UNC6780، رغم أن عملية الإسناد هذه ما تزال غير مؤكدة بالكامل.

كما تشير تقارير إلى أن المهاجمين حاولوا بيع البيانات المسروقة مقابل عشرات الآلاف من الدولارات في الأسواق السرية على الإنترنت.

لماذا تعد هذه الحادثة مهمة؟

أهمية الحادثة لا تتعلق فقط بعدد المستودعات المسروقة، بل لأنها مثال واضح على هجمات سلسلة إمداد البرمجيات (Software Supply Chain Attacks).

بدلاً من مهاجمة الخوادم مباشرة، أصبح المهاجمون يستهدفون أدوات يستخدمها المطورون يوميًا، مثل:

• إضافات VS Code
• مكتبات npm وPyPI
• أنظمة CI/CD الخاصة ببناء البرمجيات
• صور الحاويات (Containers) وأدوات التطوير

اختراق أداة موثوقة داخل بيئة المطورين قد يمنح المهاجمين وصولًا واسعًا إلى الأنظمة والشيفرات في شركات متعددة.

تشير تحليلات أمنية حديثة إلى ارتفاع كبير في هذا النوع من الهجمات، مع اكتشاف مئات الآلاف من الحزم البرمجية الخبيثة في مستودعات البرمجيات مفتوحة المصدر خلال السنوات الأخيرة.

الدروس الأمنية المستفادة

الحادثة تقدم تذكيرًا مهمًا للشركات التي تعتمد على أدوات التطوير الحديثة. من أبرز الإجراءات الوقائية التي يوصي بها خبراء الأمن:

• تقييد أو السماح بقائمة محددة فقط من الإضافات البرمجية
• مراقبة أجهزة المطورين بحثًا عن أنشطة غير طبيعية
• تطبيق مبدأ أقل صلاحيات للوصول إلى المستودعات
• تدوير الرموز السرية وبيانات الاعتماد بشكل دوري
• استخدام أدوات فحص الأسرار والاعتماديات البرمجية

غالبًا ما تمتلك أجهزة المطورين صلاحيات واسعة للوصول إلى الشيفرة والأنظمة الداخلية، ولذلك فإن اختراق أداة تطوير واحدة قد يفتح الطريق للوصول إلى أجزاء حساسة من البنية التقنية للشركة.

الصورة الأكبر

حادثة GitHub تبرز حقيقة متزايدة في عالم الأمن السيبراني: حماية البرمجيات لم تعد تقتصر على الخوادم أو التطبيقات فقط، بل تشمل أيضًا الأدوات التي يستخدمها المطورون يوميًا.

ومع ازدياد الهجمات التي تستهدف الإضافات والمكتبات مفتوحة المصدر، أصبحت حماية منظومة تطوير البرمجيات بالكامل أولوية رئيسية للشركات التقنية.

حتى الآن، تؤكد GitHub أن بيانات العملاء لم تتأثر، لكن الحادثة تُظهر بوضوح كيف يمكن لإضافة واحدة مخترقة أن تفتح بابًا للوصول إلى آلاف المستودعات داخل واحدة من أكبر منصات تطوير البرمجيات في العالم.