TrapDoor: البرمجية الخبيثة متعددة السجلات التي تستهدف مطوري العملات الرقمية والذكاء الاصطناعي عبر ملفات إعدادات AI

اكتشف باحثو الأمن السيبراني في شركة Socket Security مؤخراً حملة هجوم متطورة على سلاسل التوريد البرمجية، أُطلق عليها اسم TrapDoor. استهدفت هذه الحملة أجهزة المطورين عبر توزيع برمجيات خبيثة لسرقة بيانات الاعتماد من خلال ثلاثة من أشهر سجلات الأكواد مفتوحة المصدر في العالم: npm و PyPI و Crates.io .

تمكنت الحملة من زرع 34 حزمة برمجية خبيثة فريدة على الأقل، أُصدر منها أكثر من 384 إصداراً، حيث سُجّل أول نشاط لها في 22 مايو 2026 . تركز الهجوم بشكل خاص على المطورين العاملين في مجالات العملات الرقمية، والتمويل اللامركزي (DeFi)، وشبكات البلوكتشين مثل سولانا (Solana) وسوي (Sui)، ولغة Move، بالإضافة إلى مطوري الذكاء الاصطناعي، بهدف الاستيلاء على الأسرار الرقمية عالية القيمة التي تُشغّل البنى التحتية المالية والبرمجية الحديثة .

لا تكمن خطورة TrapDoor في انتشاره عبر أنظمة بيئية متعددة فحسب، بل في أسلوب التهرب الجديد الذي يستخدمه، حيث يستغل مساعدات البرمجة بالذكاء الاصطناعي نفسها. تقوم البرمجية الخبيثة بزرع تعليمات خفية داخل ملفات الإعدادات مثل .cursorrules و CLAUDE.md باستخدام أحرف Unicode ذات عرض صفري (Zero-Width)، وهي غير مرئية تماماً للمطورين ولكن يمكن لأدوات مثل Cursor و Claude Code قراءتها وتفسيرها، مما يخدعها لتنفيذ عمليات سرية لسرقة البيانات بحجة القيام بفحص أمني روتيني .

آلية عمل هجوم TrapDoor عبر سجلات الحزم المختلفة

نفذت حملة TrapDoor هجومها عبر ثلاث منصات رئيسية في وقت واحد، مستخدمةً آليات تقنية مختلفة تتناسب مع كل منصة .

سجل npm (21 حزمة خبيثة)

ظهر الجزء الأكبر من الحزم الخبيثة على سجل npm، حيث استغلت أكواد postinstall لتشغيل برمجية لسرقة بيانات الاعتماد تلقائياً بمجرد تثبيت الحزمة. البرمجية الأساسية، وهي سكربت خبيث يسمى trap-core.js ويحتوي على حوالي 1149 سطراً، تقوم بفحص منهجي لبيئة الضحية بحثاً عن الأسرار وإرسالها إلى خوادم يسيطر عليها المخترقون .

سجل PyPI (7 حزم خبيثة)

صُممت الحزم المنشورة على سجل PyPI الخاص بلغة بايثون لجلب وتنفيذ سكربتات JavaScript ضارة عن بُعد لحظة استيراد الحزمة. بعد تشغيلها، تنشر هذه الحزم نفس منطق سرقة بيانات الاعتماد المستخدم في حزم npm .

سجل Crates.io (6 حزم خبيثة)

في سجل لغة Rust الرئيسي، استغلت الحزم الخبيثة سكربتات build.rs لتشغيل كود سرقة بيانات الاعتماد أثناء عملية بناء المشروع (Build Process)، مما يضمن تنفيذ الكود حتى قبل استخدام الوظيفة الأساسية المفترضة للحزمة .

صُممت هذه الحزم لتبدو كأدوات تطوير شرعية ومفيدة، حيث حملت أسماء مثل token-usage-tracker (متتبع استخدام الرموز) و prompt-engineering-toolkit (عدة أدوات هندسة الأوامر) و eth-wallet-security-auditor (مدقق أمان محفظة الإيثيريوم)، مما جعلها تبدو جذابة لمجتمعات المطورين المستهدفة .

البيانات والمفاتيح المستهدفة في السرقة

تبحث حمولة TrapDoor بشكل منهجي عن مجموعة واسعة من معلومات الاعتماد عالية القيمة. وفقاً لتحليل Socket، تقوم البرمجية الخبيثة بسرقة ملفات المحافظ الرقمية (Keystores)، ومفاتيح SSH الخاصة، ورموز الوصول الشخصية لـ GitHub، وبيانات اعتماد AWS (خدمات أمازون السحابية)، ومتغيرات البيئة التي تحتوي على مفاتيح API، وبيانات الاعتماد المخزنة في المتصفحات، وغيرها من أسرار المطورين من الجهاز المخترق .

من بين الأهداف المحددة التي ذُكرت صراحةً بيانات إضافات المتصفح مثل MetaMask و Phantom الشهيرتين في عالم العملات الرقمية . تُعتبر سرقة رموز GitHub خطيرة بشكل خاص، لأنها تمنح المهاجمين القدرة على الوصول إلى مستودعات الأكواد الخاصة، وحقن أكواد خبيثة في خطوط أنابيب التكامل والتسليم المستمر (CI/CD)، أو التحرك أفقياً داخل الشبكات باستخدام هويات المطورين المخترقة .

مجتمعات المطورين المستهدفة

حدد تحقيق شركة Socket مجتمعات مطوري العملات الرقمية، والتمويل اللامركزي (DeFi)، وسولانا (Solana)، وسوي (Sui)، والذكاء الاصطناعي كأهداف رئيسية للحملة . استخدمت تسميات الحزم في الحملة مواضيع جذابة لهذه المجتمعات، مثل تدقيق أمان المحافظ، ومراقبة المعاملات، وتطوير العقود الذكية، وأدوات سياق الذكاء الاصطناعي.

لقد فهم المهاجمون جيداً أن المطورين في هذه الأنظمة البيئية يحتفظون عادةً بمفاتيح محافظ رقمية تحتوي على أصول ضخمة، ويملكون صلاحيات وصول للبنية التحتية السحابية، ويتمتعون بامتيازات عالية عبر سلاسل أدوات التطوير. كل هذا يجعل اختراق جهاز عمل واحد بوابة لأضرار مالية وتشغيلية هائلة .

أسلوب التهرب بأحرف Unicode المخفية: الهجوم عبر ملفات إعدادات AI

الجانب الأكثر إبداعاً من الناحية التقنية في TrapDoor هو استغلاله لنطاق الثقة الممنوح لمساعدات البرمجة بالذكاء الاصطناعي. تحاول البرمجية الخبيثة تعديل أو إسقاط ملفات .cursorrules و CLAUDE.md، وهي ملفات إعدادات يستخدمها المطورون لإعطاء تعليمات خاصة بالمشروع لأدوات البرمجة المدعومة بالذكاء الاصطناعي مثل Cursor و Claude Code .

يقوم المهاجمون بزرع تعليمات خفية داخل هذه الملفات باستخدام أحرف Unicode ذات عرض صفري (مثل U+200B و U+200C و U+FEFF). هذه الأحرف غير مرئية تماماً في محررات النصوص العادية وأثناء مراجعات الأكواد البرمجية (Code Review) التي يقوم بها البشر، فلا يرى المطور شيئاً مريباً . ولكن، مساعدات البرمجة بالذكاء الاصطناعي تقوم بقراءة النص الكامل بترميز Unicode ويمكن خداعها لتفسير التعليمات الخفية على أنها أوامر شرعية، مما يدفعها لتنفيذ مهام سرقة بيانات الاعتماد، أو تسريب الأكواد المصدرية، أو تشغيل أوامر نظام عشوائية دون علم المطور .

يخلق هذا سيناريو اختراق من مرحلتين: تصيب الحزمة بيئة المطور وتسرق بيانات اعتماده الفورية، بينما يقوم ملف إعدادات AI المسموم بتسليح أدوات الذكاء الاصطناعي الخاصة بالمطور لشن المزيد من الهجمات. وقد أكدت أبحاث ذات صلة أن منصات وكلاء الذكاء الاصطناعي الإنتاجية، بما في ذلك Claude Code و GitHub Copilot، يمكنها تنفيذ أوامر عشوائية مخبأة كتعليمات غير مرئية في ملفات مهارات الوكيل .

سرعة الكشف ونطاق الحملة

تمكنت البنية التحتية للكشف التابعة لـ Socket من تحديد إصدارات TrapDoor الخبيثة بمتوسط زمن اكتشاف وسيط (Median) بلغ 5 دقائق و27 ثانية فقط، بينما سُجّل أسرع كشف في 58 ثانية . سمح هذا الكشف السريع للباحثين بربط الحزم المنشورة التي بدت متفرقة في حملة واحدة منسقة في غضون 48 ساعة من أول تحميل مشبوه .

تم الإبلاغ عن جميع الحزم الـ 34 التي تم تحديدها عبر السجلات الثلاثة إلى الجهات المسؤولة عن إدارة هذه السجلات لإزالتها .

خطوات المعالجة الفورية للمطورين المتأثرين

إذا قمت أنت أو فريقك بتثبيت أي من هذه الحزم، يجب التحرك فوراً واتباع الخطوات التالية:

1. تغيير جميع بيانات الاعتماد المخترقة

قم بتوليد عبارات أولية جديدة (Seed Phrases) لمحافظ العملات الرقمية ونقل الأصول إلى محافظ جديدة. غيّر مفاتيح AWS IAM ورموز الوصول الشخصية لـ GitHub وأزواج مفاتيح SSH وأي رموز API مخزنة في متغيرات البيئة . قم بإبطال رموز OAuth الخاصة بتكاملات CI/CD.

2. تدقيق ملفات lock الخاصة بالحزم

نفّذ أوامر مثل

npm audit

pip list

3. فحص ملفات بدء تشغيل واجهة الأوامر (Shell)

تحقق من الملفات ~/.bashrc و ~/.zshrc و ~/.profile و ~/.config/fish/config.fish بحثاً عن أي اختصارات (Aliases) مشبوهة أو أوامر curl و wget غير مُعلّق عليها، فقد تكون أُنشئت لضمان استمرار الاختراق .

4. مراجعة Git Hooks

افحص المجلد .git/hooks/ في كل مستودع أكواد بحثاً عن hooks غير مصرح بها من نوع pre-commit أو post-commit أو pre-push. بما أن الحملة تستهدف رموز GitHub، فإن احتمال اختراق المستودعات على مستوى الحساب أمر وارد جداً .

5. تدقيق سير عمل GitHub Actions

راجع المجلد .github/workflows/ بحثاً عن ملفات سير عمل غير متوقعة، أو خطوات تنفيذ مشبوهة تحتوي على أوامر curl أو wget، أو أي إجراءات خارجية (Third-Party Actions) غير مرخص بها. افحص سجلات تشغيل Actions بحثاً عن طلبات شبكة صادرة غير اعتيادية.

6. التحقق من التلاعب بملفات إعدادات AI

ابحث في جميع المشاريع عن ملفات .cursorrules و CLAUDE.md التي تحتوي على أحرف Unicode ذات عرض صفري. يمكنك استخدام أمر grep التالي لكشف الأحرف غير المرئية:

grep -P '[\x{200B}-\x{200F}\x{2028}-\x{202F}\x{FEFF}]' .cursorrules CLAUDE.md

قم بإزالة أي ملفات مشبوهة وتحقق منها باستخدام عارض hex (hex dump) .

7. فحص آليات استمرار الاختراق

تحقق من وظائف cron (باستخدام الأمر

crontab -l

8. تعزيز الدفاعات ضد هجمات سلسلة التوريد

قم بدمج أدوات فحص أمان سلسلة التوريد في خط أنابيب التكامل المستمر (CI Pipeline) لديك لاكتشاف الحزم المشبوهة قبل تثبيتها. فكر في استخدام أدوات كشف وقت التشغيل (Runtime Detection) التي تراقب عمليات الوصول غير الاعتيادية إلى ملفات المحافظ الرقمية، ومفاتيح SSH، وبيانات اعتماد الحوسبة السحابية، ومجلدات بيانات المتصفح .