كشف خبراء عن هجوم Megalodon الذي استهدف 5500 مستودع جيت هاب لسرقة بيانات حساسة عبر ثغرات سلاسل التوريد البرمجية، حسب تقرير تيكبامين.
ما هو هجوم Megalodon وكيف استهدف جيت هاب؟
تعتمد حملة Megalodon على تقنيات الأتمتة لاستهداف سلاسل التوريد البرمجية على نطاق واسع. وخلال نافذة زمنية ضيقة لا تتجاوز 6 ساعات في 18 مايو 2026، قام المهاجمون بحقن آلاف الالتزامات البرمجية الخبيثة.
- حقن 5,718 التزاماً (Commits) خبيثاً في 5,561 مستودعاً مختلفاً.
- استخدام حسابات "للاستعمال لمرة واحدة" بأسماء مستخدمين عشوائية.
- تزوير هويات المؤلفين بأسماء تبدو رسمية لتجنب إثارة الشكوك.
كيف يتم تنفيذ الهجمات على مستودعات GitHub؟
أوضح باحثون أن المهاجمين استخدموا نصوصاً برمجية (Bash Payloads) مشفرة بصيغة Base64 داخل ملفات سير العمل في جيت هاب (GitHub Actions). بمجرد دمج هذه الالتزامات من قبل المطورين، يتم تنفيذ البرمجيات الخبيثة داخل خطوط أنابيب CI/CD.
أساليب الخداع المستخدمة في الهجوم
- تزوير هويات المؤلفين بأسماء مثل: build-bot، auto-ci، ci-bot، و pipeline-bot.
- استخدام سبع رسائل التزام مختلفة تحاكي عمليات صيانة CI الروتينية.
- استغلال مفاتيح النشر (Deploy Keys) ورموز الوصول الشخصية (PATs) المخترقة.
ما هي البيانات التي يحاول المهاجمون سرقتها؟
الهدف الأساسي من هجوم Megalodon هو استخراج البيانات الحساسة وإرسالها إلى خادم تحكم (C2). وتتضمن القائمة التي رصدها خبراء الأمن الرقمي، وفقاً لما ذكره تيكبامين، ما يلي:
- رموز OIDC ورموز GITHUB_TOKEN.
- بيانات اعتماد السحابة (Cloud Credentials).
- مفاتيح SSH والرموز السرية للمصادر البرمجية.
- أسرار سير عمل CI/CD والبيانات المخزنة في الذاكرة.
أنواع البرمجيات الخبيثة المستخدمة في الحملة
تم رصد نوعين رئيسيين من الحمولة البرمجية (Payload) كجزء من هذه الحملة الواسعة، وهما:
- SysDiag: متغير واسع النطاق يضيف سير عمل جديد يتم تفعيله عند كل عملية دفع أو سحب (Push/Pull Request).
- Optimize-Build: متغير مستهدف يتم تفعيله يدوياً فقط، مما يوفر أماناً تشغيلياً أعلى للمهاجم لتجنب الاكتشاف المبكر.
وحذر خبراء الأمن من أننا دخلنا عصراً جديداً من هجمات سلاسل التوريد، حيث يتوقع أن تشهد الفترة القادمة موجة لا تنتهي من الهجمات السيبرانية التي تستهدف المطورين حول العالم، مما يتطلب حذراً مضاعفاً عند مراجعة أي التزامات برمجية خارجية.
