في الآونة الأخيرة، كشفت أبحاث الأمن السيبراني عن تهديد خطير يستهدف حزم العملات الرقمية على سجل npm، حيث تم اختراقها لاستخراج معلومات حساسة مثل المتغيرات البيئية من الأنظمة المخترقة. وفقًا للباحث في شركة Sonatype، أكس شارما، “بعض هذه الحزم كانت موجودة على موقع npmjs.com لأكثر من تسع سنوات وتوفر وظائف مشروعة لمطوري البلوكشين. إلا أن الإصدارات الأخيرة منها محملة بنصوص مشفرة.”
تحليل الحزم المتأثرة
تتضمن الحزم المتأثرة والإصدارات المخترقة منها:
- country-currency-map (2.1.8)
- bnb-javascript-sdk-nobroadcast (2.16.16)
- @bithighlander/bitcoin-cash-js-lib (5.2.2)
- eslint-config-travix (6.3.1)
- @crosswise-finance1/sdk-v2 (0.1.21)
- @keepkey/device-protocol (7.13.3)
- @veniceswap/uikit (0.65.34)
- @veniceswap/eslint-config-pancake (1.6.2)
- babel-preset-travix (1.2.1)
- @travix/ui-themes (1.1.5)
- @coinmasters/types (4.8.16)
أظهرت التحليلات التي أجرتها شركة أمن سلسلة التوريد البرمجية أن هذه الحزم قد تم تسميمها باستخدام تعليمات برمجية مشفرة بشكل كبير في نصين مختلفين: “package/scripts/launch.js” و”package/scripts/diagnostic-report.js”. تهدف هذه الأكواد إلى جمع بيانات حساسة مثل مفاتيح API ورموز الوصول ومفاتيح SSH، وإرسالها إلى خادم بعيد.
التحديات الأمنية والتهديدات المحتملة
على الرغم من أن مستودعات GitHub المرتبطة بهذه المكتبات لم يتم تعديلها لتضمين نفس التغييرات، إلا أن هذا يثير تساؤلات حول كيفية تمكن الجهات الفاعلة من دفع التعليمات البرمجية الضارة. يُعتقد أن السبب يعود إلى اختراق حسابات الصيانة القديمة إما عبر هجمات (credential stuffing) أو استيلاء على نطاق منتهي الصلاحية.
تسلط هذه النتائج الضوء على ضرورة تأمين الحسابات باستخدام المصادقة الثنائية (2FA) لمنع هجمات الاستيلاء. كما تشير إلى التحديات المرتبطة بفرض مثل هذه الضمانات الأمنية عندما تصل المشاريع مفتوحة المصدر إلى نهاية عمرها الافتراضي أو لم تعد مدعومة بنشاط.
رؤى الخبراء والتوجهات المستقبلية
تعتبر هذه الحالة بمثابة تذكير ملح بالحاجة إلى تحسين إجراءات أمن سلسلة التوريد وزيادة اليقظة في مراقبة سجلات البرامج التابعة لجهات خارجية. يجب على المنظمات إعطاء الأولوية للأمن في كل مرحلة من مراحل عملية التطوير للتخفيف من المخاطر المرتبطة بالاعتماد على أطراف ثالثة.
وجدت المقالة مثيرة للاهتمام؟ تابعنا على X (تويتر) ولينكد إن لقراءة المزيد من المحتوى الحصري الذي ننشره.
شاركنا رأيك بتعليق