كشفت حزم npm خبيثة عن هجوم موجه يستهدف مستخدمي أدوات تطوير علي بابا، عبر برمجية RAT تعمل على ويندوز وماك ولينكس.
ما قصة حزم npm خبيثة التي استهدفت مطوري علي بابا؟
رصد باحثون أمنيون مجموعة جديدة من الحزم المزيفة على npm صُممت لاستهداف بيئات تطوير ناطقة بالصينية، مع تركيز واضح على مستخدمي أدوات داخلية مرتبطة بشركات ضمن مجموعة علي بابا.
أخطر ما في الحملة أن بعض الحزم حملت أسماء تبدو مألوفة للمطورين، ما يزيد احتمال تثبيتها دون إثارة الشك. ووفقاً لما رصده تيكبامين، فإن الهجوم يندرج ضمن هجمات سلسلة التوريد البرمجية الأكثر تعقيداً في نظام JavaScript.
كيف عملت الحزم المزيفة داخل npm؟
إحدى الحزم التي لفتت الانتباه كانت lib-mtop، وهي حزمة غير مقيّدة بالاسم نفسه المستخدم داخلياً في حزمة خاصة تحت نطاق @ali. الحزمة ظهرت أولاً في نوفمبر 2023 دون وظائف واضحة، ثم تلقت تحديثات جديدة خلال مارس وأبريل أضافت السلوك الخبيث.
آلية التنفيذ الخبيث
النسخ الجديدة أضافت محمّلاً برمجياً يقوم بجلب شيفرة JavaScript من خادم بعيد باستخدام curl، ثم تنفيذها مباشرة على الجهاز المصاب. هذا الأسلوب يسمح للمهاجمين بتغيير الحمولة لاحقاً دون الحاجة لتحديث الحزمة نفسها مرة أخرى.
- استغلال أسماء تشبه حزم داخلية موثوقة
- تنزيل حمولة خبيثة من الإنترنت بعد التثبيت
- تشغيل كود عن بُعد على أنظمة متعددة
- الاعتماد على شجرة تبعيات لإخفاء النشاط
ما هي الحزم المرتبطة بالهجوم وما خطورتها؟
الحساب الذي نشر بعض هذه الحزم كان مرتبطاً أيضاً بأسماء أخرى مثل aone-kit وaone-kit-cli وaone-sandbox وlocal-config-parser. بعض هذه الحزم بدا كغلاف فارغ، لكنه يؤدي دور الطعم الذي يدفع بيئة التطوير إلى سحب تبعيات إضافية مشبوهة.
الحزمة local-config-parser بدت للوهلة الأولى أداة شرعية لقراءة ملفات JSON، لكن خطورتها ظهرت من خلال التبعيات التي تعتمد عليها. كل تبعية منفردة قد تبدو عادية، إلا أن دمجها معاً ينشئ قناة خفية لتفعيل برمجية RAT على أجهزة المطورين.
- 10 حزم طُعم من الطبقة العليا
- حزمة وسيطة باسم smart-config-manager
- حزم منخفضة المستوى تحمل منطق التحميل والتنفيذ
- استدعاء مستودع GitHub لجلب إعدادات إضافية
لماذا يعد هجوم سلسلة التوريد هذا مقلقاً للمطورين؟
الخطورة هنا لا تتعلق فقط بوجود حزم npm خبيثة، بل بطريقة بنائها المتدرجة. فعندما تُثبت الحزمة في بيئة تملك وصولاً إلى الحزم الخاصة الحقيقية، تبدو عملية جلب التبعيات طبيعية، بينما يتم تمرير الشيفرة الضارة عبر طبقات جانبية يصعب ملاحظتها سريعاً.
هذا يعني أن فرق التطوير قد لا تكتشف الإصابة إلا بعد تنفيذ أوامر خارجية أو ظهور اتصالات غير معتادة من الأجهزة. كما ذكر تيكبامين، فإن هذا النوع من الهجمات يثبت أن الثقة في اسم الحزمة وحده لم تعد كافية داخل npm.
كيف يمكن تقليل خطر حزم npm خبيثة مستقبلاً؟
الحل يبدأ بمراجعة التبعيات بدقة، وتقييد تثبيت الحزم غير الموثقة، مع مراقبة أي سكربتات postinstall أو عمليات اتصال خارجية أثناء التثبيت. كما يُنصح بتفعيل فحص أمني دوري لسلاسل التبعيات داخل المشاريع الحساسة.
في النهاية، تؤكد هذه الواقعة أن حزم npm خبيثة أصبحت أداة فعالة لاختراق بيئات التطوير، خصوصاً عندما تُصمم لاستهداف شركة أو قطاع محدد بدقة.
