دودة مياسما تضرب مستودعات مايكروسوفت على غيت هاب: هجوم يستغل مساعدي البرمجة الذكية لسرقة البيانات

الأصل: اختراق حزم npm لشركة ريد هات

كانت حادثة غيت هاب لمايكروسوفت هي الفصل الأخير من حملة بدأت قبل أيام في سلسلة توريد البرمجيات مفتوحة المصدر.

في الأول من يونيو 2026، استخدم المهاجمون حساب غيت هاب مسروقاً لأحد موظفي شركة ريد هات لنشر نسخ مُفخخة من 32 حزمة رسمية من حزم @redhat-cloud-services على منصة npm، والتي امتدت لأكثر من 90 إصداراً . تتبعت استخبارات التهديدات في مايكروسوفت هذا الاختراق وصولاً إلى مسار CI/CD الرئيسي للحزم وهو RedHatInsights/javascript-clients، مما سمح للمهاجمين بنشر حزم ضارة تحمل توقيعات مصدر تبدو شرعية . حملت هذه الحزم الضارة سكريبت "ما قبل التثبيت" (preinstall script) المشوش الذي ينفذ أداة لسرقة بيانات الاعتماد بمجرد التثبيت، ممهداً الطريق لانتشار دودة مياسما على نطاق أوسع .

الاستجابة والاحتواء

كانت الاستجابة للهجوم سريعة وحاسمة، لكن تداعيات الحادثة عميقة.

• التعطيل الفوري: قامت أنظمة الكشف الآلي عن الانتهاكات في غيت هاب بتعطيل جميع المستودعات الـ 73 المصابة على موجتين منفصلتين، مانعةً الوصول العام إليها فوراً ومعرضةً إشعاراً بـ"انتهاك شروط الخدمة" .
• الاستعادة والمعالجة: استعادت مايكروسوفت جميع المستودعات المتضررة بالكامل بحلول 8 يونيو وأبلغت العملاء المتأثرين . كانت النتيجة الرئيسية هي أن المهاجم أعاد استخدام أسرار GitHub Actions التي لم يتم تغييرها للحفاظ على وصوله وتوسيعه، مما يشير إلى أن اختراقاً سابقاً لم يتم تنظيفه بالكامل .
• جذر أعمق للمشكلة: كشفت التحقيقات أن بيانات الاعتماد المسروقة التي استُخدمت في هجوم 5 يونيو كانت موجودة في سجلات سرقة نشطة لمدة 48 يوماً قبل استخدامها، مما يؤكد وجود تسلل طويل الأمد سبق تفعيل الدودة .

من يقف وراء الهجوم؟ إرث "شاي خلود" ومشكلة المقلدين

دودة مياسما هي سليل مباشر لإطار عمل دودة "ميني شاي خلود" (Mini Shai-Hulud)، وهو مجموعة أدوات صنعتها عصابة التهديد المعروفة باسم TeamPCP . حملة TeamPCP السابقة، التي كُشف عنها في 12 مايو 2026، كانت قد اخترقت بالفعل أكثر من 170 حزمة على منصتي npm و PyPI، والتي حصدت مجتمعة أكثر من 518 مليون عملية تحميل تراكمية، مستهدفةً مكتبات تطوير الذكاء الاصطناعي بشكل مباشر .

يزداد الموقف تعقيداً لأن عصابة TeamPCP قامت بجعل إطار عمل "ميني شاي خلود" مفتوح المصدر . هذا يعني أن عدداً غير معروف من المهاجمين المقلدين لديهم إمكانية الوصول إلى نفس قاعدة الشيفرة البرمجية. في حين أن التقنيات والشيفرة تربط بقوة بين "مياسما" وسلالة TeamPCP، يحذر باحثون أمنيون من أنه لا يمكن الجزم بنسبة الهجوم بشكل قاطع للعصابة الأصلية، حيث يمكن لأي جهة تمتلك مجموعة الأدوات مفتوحة المصدر أن تكون قد نفذت جزءاً من هذه الموجة أو كلها .

توصيات أمنية للمطورين

هجوم مياسما يُعيد تعريف الحدود الأمنية بشكل جذري. لم يعد فتح مستودع برمجي إجراءً سلبياً وآمناً. اجتمع الباحثون حول عدة توصيات رئيسية:

• إلغاء صلاحية كل شيء وتدوير الأسرار: قم فوراً بتدوير جميع رموز GitHub Actions المميزة، وبيانات اعتماد مزودي الخدمات السحابية، ورموز نشر npm، وأي أسرار أخرى قد تكون تعرضت عبر سجلات CI/CD أو المستودعات المصابة أو سجلات السرقة .
• فرض التحقق متعدد العوامل (MFA) الصارم: اشترط استخدام التحقق متعدد العوامل، ويفضل باستخدام مفاتيح الأمان المادية (hardware security keys)، لجميع حسابات المساهمين لمنع عمليات الاختراق القائمة على سرقة بيانات الاعتماد .
• تعقيم حدود الثقة لأدوات الذكاء الاصطناعي: تعامل مع المستودعات غير الموثوقة كما تتعامل مع البرامج التنفيذية المجهولة. قم بتهيئة وكلاء البرمجة بالذكاء الاصطناعي (مثل Claude Code و Cursor و Gemini CLI و VS Code) لكي لا تقوم تلقائياً بتنفيذ أو قراءة ملفات التكوين والمهام من المستودعات .
• تحصين مسارات CI/CD: قم بتدقيق إجراءات GitHub Actions لتقييد صلاحيات الكتابة لرموز Actions، وإزالة الرموز غير المستخدمة، وفرض استخدام بيانات اعتماد قصيرة العمر (short-lived credentials) .
• تعزيز ممارسات سلامة سلسلة التوريد: استخدم أدوات فحص الاعتماديات (dependency scanning tools)، وقم بتوليد قائمة مكونات البرنامج (SBOM)، وتحقق من مصدر الحزمة قبل التثبيت. راقب الحزم بحثاً عن سكريبتات "ما قبل التثبيت" (preinstall) أو "ما بعد التثبيت" (postinstall) المشوشة .