اختراق npm: أمازون تربط debug وchalk بكوريا الشمالية

اختراق npm عاد للواجهة بعدما ربطت أمازون الاستيلاء على حزمتَي debug وchalk بكوريا الشمالية، ما يوسّع فهم الهجوم الذي هزّ سلاسل التوريد البرمجية.

ما قصة اختراق npm الذي استهدف debug وchalk؟

القضية بدأت في سبتمبر 2025 عندما تعرّض أحد المشرفين على حزم npm لعملية تصيّد عبر نطاق شبيه بالموقع الأصلي، قبل دفع تحديثات خبيثة إلى حزم واسعة الانتشار. هذا الهجوم أثار قلق المطورين لأن الحزم المتأثرة تُستخدم داخل مشاريع ومكتبات يعتمد عليها الملايين.

الجديد الآن أن أمازون قدّرت بدرجة ثقة متوسطة أن المجموعة نفسها المرتبطة باختراق axios في مارس 2026 كانت وراء هذه العملية أيضاً. وبهذا ينتقل الملف من مجرد سرقة مرتبطة بالعملات الرقمية إلى حملة أوسع ضمن اختراق npm المنظم.

كيف ربطت أمازون الهجوم بكوريا الشمالية؟

وفق التحليل الجديد، ترى أمازون أن أسلوب العمل تكرر عبر ثلاث حملات خلال 12 شهراً: استهداف مشرف موثوق، ثم نشر تحديث مسموم داخل الحزمة نفسها. هذا النمط، إلى جانب مؤشرات تحكم واتصال متداخلة وإعادة استخدام بعض الشيفرات، دعم ربط النشاط بجهة واحدة.

أبرز ما استند إليه التحليل

• تشابه في أساليب الهندسة الاجتماعية ضد المشرفين.
• استخدام ملفات مزروعة داخل حزم برمجية صغيرة لاختبار الأسلوب.
• مؤشرات تقنية مشتركة بين أكثر من حملة.
• صلة غير مباشرة مع اختراق axios المنسوب سابقاً إلى Sapphire Sleet.

مع ذلك، لا تزال بعض الفجوات قائمة. أمازون لم تنشر تفصيلاً كاملاً يوضح أي دليل يربط كل حادثة على حدة، خصوصاً في debug وchalk، وهو ما يجعل الاستنتاج قوياً من ناحية النمط لكنه أقل حسماً من ناحية الإثبات العلني.

لماذا يختلف هجوم debug وchalk عن اختراق axios؟

الاختلاف الأهم أن الشيفرة الخبيثة في debug وchalk لم تعتمد على post-install hook التقليدي داخل npm. بدلاً من ذلك، عملت داخل المتصفح عبر اعتراض fetch وXMLHttpRequest وبعض واجهات المحافظ الرقمية لتبديل عناوين المعاملات قبل توقيع المستخدم.

هذا يعني أن الخطر لم يكن قائماً على تثبيت برمجية دائمة داخل الجهاز، بل على التلاعب اللحظي بالمعاملة نفسها. لذلك يُعد اختراق npm هنا أخطر من مجرد ملف خبيث تقليدي، لأنه يستهدف الثقة داخل بيئات التطوير والتطبيقات المتصلة بالمحافظ.

ما الذي تكشفه حزمة typo-crypto عن تطور الهجوم؟

أمازون قالت أيضاً إنها عثرت على ملف مزروع داخل حزمة صغيرة باسم typo-crypto في مارس 2025، أي قبل عام تقريباً من وصول الأسلوب إلى axios. ورغم أن عدد التنزيلات كان منخفضاً، فإن طريقة التنفيذ بدت أقرب إلى تجربة مبكرة قبل الانتقال إلى أهداف أكبر.

• مارس 2025: زرع ملف خبيث في typo-crypto.
• سبتمبر 2025: الاستيلاء على debug وchalk.
• مارس 2026: اختراق axios وربطه بالمجموعة نفسها.

كما يلاحظ تيكبامين، فإن هذا التسلسل يوضح كيف تبدأ هجمات سلاسل التوريد البرمجية بأهداف صغيرة ثم تتطور نحو مكتبات أكثر انتشاراً وتأثيراً.

ماذا يعني ذلك للمطورين ومستخدمي حزم npm؟

الرسالة الأهم هي أن التحقق من هوية المشرفين، ومراجعة التحديثات غير المتوقعة، ومراقبة سلوك الحزم بعد التثبيت، لم تعد خطوات اختيارية. حتى الحزم الشهيرة قد تتحول إلى نقطة هجوم إذا تم اختراق حسابات القائمين عليها.

في النهاية، يعيد هذا الملف تسليط الضوء على اختراق npm بوصفه تهديداً مستمراً، لا سيما مع اتهام جهة مرتبطة بكوريا الشمالية. وبحسب قراءة تيكبامين، فإن حماية سلسلة التوريد البرمجية ستبقى أولوية قصوى لكل فريق تطوير خلال الفترة المقبلة.