اكتشفت فرق أمنيّة حملة مموّلة تستهدف مطوّري Web3 وبلوكشين والمجتمعات التقنية عبر نشر مئات حزم خبيثة في سجلات الحزم (npm, PyPI, RubyGems). تستغل هذه الحزم آليات مثل Discord webhooks كقنوات أوامر وتحكّم (C2) لتهريب أسرار ومعلومات حسّاسة من حواسب المطورين وبيئات CI قبل وقت التشغيل.
مخطط دورة الهجوم Contagious Interview
تُظهر الصورة تسلسل الهجوم من سبع مراحل:
- Reconnaissance (تنقيح أهداف عبر LinkedIn وغيرها).
- Weaponization (نشر حزم ومحمّلات خبيثة مثل BeaverTail).
- Delivery (استدراج الضحية عبر مستودعات/روابط مزعومة)،
- Exploitation (تشغيل سكربتات التثبيت أو البناء لفك تشفير الحمولات).
- Installation (تنصيب BeaverTail وتشغيل InvisibleFerret).
- Command & Control (C2) (استخدام HTTP/Discord webhooks كقنوات لإصدار أوامر).
- وأخيرًا Actions on Objectives (سرقة بيانات الاعتماد، محافظ العملات، مفاتيح API، ملفات `.env`، والقيام بعمليات مالية أو توسيع الانتشار داخل CI).
تفصيل التقنيات والأساليب المستخدمة
تعتمد الحملة على مزيج من التكتيكات التقنية والاجتماعية لجعل الحزمة الخبيثة تبدو مشروعـة وتَجذب مطورين محددين:
- Typosquatting: نشر حزم بأسماء شبيهة جداً للحزم الشعبية (مثال:
dotevnمقابلdotenv,ethrs.jsمقابلethers.js) لاستغلال الاعتماد السريع على أسماء الحزم في عمليات التثبيت. - Install-time hooks / build scripts: سكربتات
postinstallأوsetup.pyتنفّذ طلبات HTTP وتفكّك أجزاء مشفّرة أثناء التثبيت، ما يسمح بالاستيلاء قبل أن يبدأ تشغيل الكود المُراد حمايته. - استغلال خدمات مجانية كقنوات C2: استخدام Discord webhooks كقناة كتابة (write-only) لتهريب البيانات، مما يلغي حاجة المهاجم لاستضافة بنية تحتية مرئية ويسهّل التخفي.
- سارقون ومحملات متعدّدو المراحل: الحزمة الأولية تستخدم BeaverTail كسارق بيانات ثم تُحمّل حمولات إضافية (مثل InvisibleFerret) كباب خلفي متعدد المنصات.
- نموذج صناعة/مصنع: الحملة تعمل بنمط مصنعى (state-directed, quota-driven) مع عشرات الشخصيات المزيفة وحسابات جديدة على npm لتوزيع مستمر ومُجدّد.
مؤشرات الاختطار (IOCs) رئيسية
ابحث عن العلامات التالية داخل بيئات التطوير وCI:
- حزم بأسماء قريبة وغير متوقعة (typosquats) مقابل حزم معروفة.
- وجود سكربتات
postinstallأوinstallأو استدعاءات HTTP/HTTPS في ملفات التثبيت. - الاتصال بعناوين ويبهوك Discord أو نطاقات غير مألوفة أثناء التثبيت.
- محاولات قراءة ملفات حساسة مثل
.env,config.json,/etc/passwd, أو الوصول إلى macOS Keychain. - عمليات Node طويلة المدّة أو مساعدات منفصلة تعمل بعد التثبيت دون سبب واضح.
تأثير الحملة — لماذا الخطر كبير؟
التهديد يتجاوز مجرد حزمة خبيثة مفردة لأن الجهة المهاجمة تعمل كنظام متكامل:
- استهداف منظّم ومموّل يضمن استمرارية النشر وإعادة الاستخدام.
- القدرة على الحصول على أسرار بيئة التطوير وCI قبل نشر الكود إلى الإنتاج.
- اقتصاد الهجوم يتحسّن باستخدام خدمات مجانية مثل Discord، ما يقلّل تكاليف المهاجم ويزيد من قابليته للتوسع.
توصيات عملية ودفاعية فورية
لتقليل المخاطر وحماية البنية التطويرية وبيئات CI، نوصي بالتالي:
1. اعتماد نظام اعتماد للحزم (Allowlist)
- اعتمد قائمة حزم مصادق عليها. لا تسمح بالتثبيت من سجلات خارجية إلا بعد فحص وموافقة.
- استخدم proxy أو سجل داخلي (private registry) يقوم بفحص الحزم قبل تمريرها.
2. تقليل تسرب الأسرار وفصل الصلاحيات
- لا تُخزن مفاتيح الإنتاج في ملفات `.env` على أجهزة المطورين أو في مستودعات عامة.
- اعتمد إدارة أسرار مركزية (Secrets Manager) ومبدأ أقل صلاحية (least privilege).
3. منع وتشغيل سكربتات التثبيت في بيئات غير معزولة
- عطّل تلقائيًا تنفيذ
postinstallأو شغّلها ضمن حاويات معزولة ومراقبة. - سجّل وحلل نشاط الشبكة للاتصالات الصادرة أثناء التثبيت داخل CI.
4. تعزيز فحوصات السِمات وسمعة الناشر
- تحقّق من تاريخ حساب الناشر، النشاط، بريد التسجيل، وتبعيات الحزمة قبل الاعتماد.
- راقب وجود إنشاء حسابات متكررة أو أسماء مستعارة متعددة مرتبطة بحزم مشبوهة.
5. نشر الوعي داخل الفرق
- علّم الفرق كيفية التعرف على typosquats وممارسات التحقق من الحزم.
- اعتمد سياسات مراجعة دورية للتبعيات (dependency audit) قبل نشر التحديثات.
خطوات الاستجابة عند الاشتباه بوجود إصابة
- عزل الجهاز أو البيئة المصابة وقطع الاتصالات الشبكية غير الضرورية.
- جمع الأدلة: سجلات التثبيت، سجلات الشبكة، قائمة العمليات، ونسخ من ملفات التثبيت.
- تدوير الأسرار المعرضة (مفاتيح API، رموز الوصول، كلمات المرور، شهادات).
- فحص أنابيب CI وبيئات النشر للتأكد من عدم وجود عمليات مرافقة خبيثة.
- الإبلاغ إلى سجلات الحزم (npm, PyPI, RubyGems) وطلب تعطيل حساب الناشر وحذف الحزم الخبيثة مع متابعة الحسابات المرتبطة.
خلاصة
تظهر حملة Contagious Interview كيف أن بيئات تطوير البرمجيات وسجلات الحزم يمكن تحويلها إلى قنوات وصول متجددة ومنخفضة التكلفة للهجمات المموّلة. الدفاع الفعّال يتطلّب سياسات اعتماد حزم صارمة، فصل وإدارة الأسرار بشكل مركزي، منع تنفيذ سكربتات التثبيت في بيئات غير مراقبة، ومراقبة سلوكيات التثبيت داخل CI.
حذف حزمة وحظرها خطوة ضرورية، لكن لا تغني عن تعطيل حساب الناشر، تدوير الأسرار، وفحص البنية التحتية كاملة لضمان القضاء على أي أبواب خلفية متبقية.
إقرأ ايضا: الأسباب الخفية وراء اختراق ديسكورد
