قامت CrowdStrike بالتعاون مع جوجل ومؤسسة الإنترنت الأمنية Shadowserver بتفكيك شبكة روبوتات مخصصة لمطوري البرمجيات مفتوحة المصدر. وقد استخدمت هذه الشبكة على مدار العامين الماضيين حسابات المطورين وسلسلة توزيع الكود لنشر برامج ضارة وسرقة كلمات المرور.
هجمات مستمرة على المطورين على مدار سنتين
تستهدف هذه الحملة شبكة هجوم تُعرف باسم Glassworm. وتشير CrowdStrike إلى أن هذه الهجمات لم تعد تركز فقط على المنتجات البرمجية، بل توجه مباشرةً نحو المطورين الذين يكتبون ويدعمون الكود، لأن اختراق جهاز مطور واحد قد يؤدي إلى انتشاره عبر سلسلة التوريد إلى عدد كبير من المستخدمين والمؤسسات downstream.
More than 300 GitHub repositories are contaminated
وفقًا لـ CrowdStrike، ينشر المهاجمون الكود الضار بشكل رئيسي من خلال ثلاث طرق، بما في ذلك نشر إضافات ضارة في الأسواق التي يستخدمها المطورون، وشراء إعلانات بحثية لتحفيز التنزيل، واستخدام بيانات الاعتماد المسروقة سابقًا للسيطرة على حسابات المطورين.
- تم نشر إضافات ضارة في متجر المطورين
- تُستخدم الإعلانات البحثية لحث المستخدمين على تنزيل برامج خبيثة
- تم استخدام الحساب المسروق لزرع رمز ضار
بعد السيطرة على الحساب، أدخل المهاجمون كودًا ضارًا إلى مستودعات المشروع. وصرحت CrowdStrike أن أكثر من 300 مستودع على GitHub تلوثت في النهاية.
تشمل قنوات التحكم خدمات مثل Solana
أفادت CrowdStrike أنّها قطعت أربع قنوات قيادة وتحكم مستخدمة من قبل Glassworm، مما قلل من قدرة المهاجمين على الوصول إلى الأجهزة المصابة ومنعهم من تحميل المزيد من البرمجيات الخبيثة.
أفاد التقرير أن هذه البنية التحتية للتحكم تعتمد على قنوات متعددة، بما في ذلك سلسلة سولانا، وشبكة بيتوورنت النظير إلى النظير، وGoogle Calendar، وخوادم افتراضية خاصة. ومع ذلك، لم يوضح التقرير ما إذا كانت هذه العملية قد أُنجزت بناءً على تفويض قانوني أو طريقة تقنية محددة.
استمرت الهجمات المماثلة مؤخرًا
في الأشهر الأخيرة، زادت الهجمات على سلسلة التوريد الخاصة بالمشاريع المفتوحة المصدر والمطورين. وذكرت TechCrunch أن حملة هجومية أخرى مؤخرًا بعنوان Mini Shai-Hulud اخترقت عدة مشاريع مفتوحة المصدر ونشرت تحديثات ضارة، حيث تأثر أحد مطوري OpenAI.
معلومات إضافية: ذكر التقرير أيضًا أن هجومًا آخر على سلسلة التوريد حدث في مارس من هذا العام، حيث يُشتبه في صلة القراصنة الخلفيّين بكوريا الشمالية، مما يُظهر أن حسابات المطورين وسلاسل التوزيع المفتوحة المصدر أصبحت أهدافًا رئيسية للهجمات.