كشف أوبن في إس إكس عن إضافات خبيثة انتحلت أدوات تطوير معروفة، بعدما تبيّن أن 77 إضافة كانت تجمع بيانات من أجهزة المطورين وبيئات العمل وترسلها إلى خادم خارجي.
ما قصة إضافات أوبن في إس إكس الخبيثة؟
بحسب المعلومات المتاحة، رُفعت هذه الإضافات بين 26 يوليو و1 أغسطس 2026، قبل أن تُزال من المتجر في 3 أغسطس 2026. اللافت أن الحملة لم تعتمد على أسماء عشوائية، بل استخدمت أسماء ووصفاً قريبين جداً من إضافات حقيقية بهدف تضليل المستخدمين.
الأسلوب هنا يُعرف بهجمات “التوأم الشرير”، حيث تبدو الإضافة وكأنها نسخة أصلية أو أداة موثوقة، بينما تحمل في الخلفية شيفرة مخصصة لجمع المعلومات. ووفقاً لتغطية تيكبامين، فإن بعض الحزم استخدمت أرقام إصدار منخفضة جداً مثل 0.0.1 لتسهيل نشرها بسرعة.
كيف كانت الإضافات الخبيثة تسرق بيانات المطورين؟
الجزء الأخطر أن هذه الإضافات الخبيثة لم تقدّم الوظيفة المعلنة في صفحاتها أساساً. بدلاً من ذلك، كانت تُظهر رسالة تفيد بأنها نشطة، ثم تبدأ بإرسال البيانات إلى نطاق واحد استُخدم في العملية.
ما البيانات التي جرى جمعها؟
- اسم الجهاز المحلي Hostname
- اسم مستخدم نظام التشغيل
- اسم المحرر وإصداره
- نوع الجهاز والمنصة والمعمارية
- اللغة والمنطقة الزمنية
- اسم مجلد المشروع المفتوح
- المسار الكامل لملفات مساحة العمل
- مؤشرات على بيئة CI التي يعمل داخلها المحرر
وتشير التفاصيل إلى أن 58 إضافة كانت تركز على جمع بيانات خفيفة نسبياً مثل اسم الجهاز أو اسم مجلد العمل، بينما ذهبت 19 إضافة أبعد من ذلك عبر تنفيذ استطلاع تقني أكثر عمقاً لبيئة التطوير.
لماذا تعد هذه الهجمة خطيرة على المطورين؟
الخطورة لا تتعلق فقط بسرقة معلومة واحدة، بل بقدرة المهاجم على بناء صورة دقيقة عن بيئة المطور. عندما يحصل طرف خبيث على أسماء المشاريع والمسارات المحلية ونوع البنية والمنصة، يصبح من الأسهل التخطيط لهجمات لاحقة أكثر دقة.
كما أن بعض النسخ احتوت على آلية بديلة تعتمد على استعلام DNS للحصول على رابط تسريب احتياطي إذا تم حجب الخادم الأساسي. هذا يعني أن الحملة لم تكن عشوائية أو تجريبية، بل صُممت مع سيناريوهات استمرار وتشغيل لاحق.
كيف تعرف إن كنت تأثرت بإضافات أوبن في إس إكس؟
إذا كنت تستخدم Open VSX أو توزيعات مبنية عليه، فمن الأفضل مراجعة الإضافات المثبتة خلال الأيام الأخيرة، خصوصاً أي إضافة جديدة تحمل اسماً معروفاً لكن ناشرها غير مألوف. كذلك يجب التدقيق في الإضافات التي لا تنفذ ميزاتها المعلنة فعلياً.
خطوات الحماية الموصى بها
- حذف أي إضافة مشبوهة أو غير موثوقة فوراً
- مراجعة حساب الناشر ورقم الإصدار قبل التثبيت
- التحقق من الاتصالات الصادرة من بيئة التطوير
- تغيير بيانات الوصول إذا كان المشروع حساساً
- فحص سجلات CI والخوادم المرتبطة بالمشروع
في النهاية، تذكّر تيكبامين أن خطر الإضافات الخبيثة لم يعد نظرياً، بل أصبح تهديداً مباشراً لسلاسل التطوير الحديثة، ما يفرض على المطورين والمؤسسات تشديد التحقق من أي إضافة قبل منحها الوصول إلى بيئة العمل.
