- كشف باحثو الأمن السيبراني عن مجموعة من حزم npm السبعة التي نشرها طرف خبيث واحد باستخدام خدمة إخفاء تُعرف باسم Adspect.
- تهدف Adspect إلى الإعلان عن خدمة سحابية مصممة لحماية حملات الإعلانات من الزيارات غير المرغوب فيها، بما في ذلك النقر الاحتيالي والبرمجيات الخبيثة القادمة من شركات برامج مكافحة الفيروسات.
- تحتوي ستة حزم من npm على ملف ضار بحجم 39 كيلوبايت يقوم بإخفاء نفسه وإنشاء نسخة مطابقة لبصمة النظام.
6
نُشرت الحزم الخبيثة من npm من قبل فاعل تهديدات سيبرانية يُدعى "dino_reborn" بين سبتمبر ونوفمبر 2025. وتشمل الحزم: signals-embed (342 تحميلًا)، dsidospsodlks (184 تحميلًا)، applicationooks21 (340 تحميلًا)، application-phskck (199 تحميلًا)، integrator-filescrypt2025 (199 تحميلًا)، integrator-2829 (276 تحميلًا)، وintegrator-2830 (290 تحميلًا).
تتظاهر Adspect بأنها خدمة سحابية تحمي الحملات الإعلانية
وفقاً لـ موقعه الإلكتروني، تعلن Adspect عن خدمة سحابية مصممة لحماية حملات الإعلانات من الزيارات غير المرغوب فيها، بما في ذلك النقر الاحتيالي والبرمجيات الخبيثة من شركات مكافحة الفيروسات. كما تدعي أنها تقدم "تخفيًاً منيعاً" وأنّها "تخفي بشكل موثوق كل منصة إعلانية على حدة".
تقدم ثلاث خطط: Ant-Fraud وPersonal وProfessional، بتكاليف تبلغ 299 دولارًا و499 دولارًا و999 دولارًا شهريًا على التوالي. تدعي الشركة أيضًا أن المستخدمين يمكنهم الإعلان عن "أي شيء يريدونه"، مشيرة إلى أنها تتبع سياسة عدم طرح الأسئلة: "نحن لا نهتم بما تشغله ولا نفرض أي قواعد للمحتوى".
أوضحت باحثة أمان Socket أوليفيا براون، "عند زيارة موقع ويب مزيف تم إنشاؤه بواسطة أحد الحزم، يحدد الفاعل الخبيث ما إذا كان الزائر ضحيةً أم باحث أمان [...] إذا كان الزائر ضحيةً، يرى CAPTCHA مزيفاً، مما يؤدي في النهاية إلى موقع ضار. إذا كان باحث أمان، فإن بعض الإشارات فقط على الموقع المزيف ستكشف له أن هناك شيئاً خبيثاً قد يحدث."
قدرة AdSpect على حجب إجراءات الباحثين في متصفح الويب الخاص بها
من بين هذه الحزم، تحتوي ست منها على قطعة برمجية خبيثة حجمها 39 كيلوبايت تخفي نفسها وتقوم بنسخ بصمة النظام. كما تحاول التهرب من التحليل عن طريق حظر إجراءات المطورين في متصفح الويب، مما يمنع الباحثين من عرض رمز المصدر أو تشغيل أدوات المطورين.
تستغل الحزم ميزة في JavaScript تُعرف بـ "التعبير الدالي المُنفَّذ فورًا (IIFE)". تتيح هذه الميزة تنفيذ الكود الخبيث فورًا عند تحميله في متصفح الويب.
ومع ذلك، لا يحتوي "signals-embed" على أي وظائف خبيثة صريحة، وهو مصمم لإنشاء صفحة بيضاء وهمية. ثم تُرسل المعلومات المُلتقَطة إلى وكيل (proxy) عند العنوان "association-google[.]xyz/adspect-proxy[.]php" لتحديد ما إذا كان مصدر الحركة مرده إلى ضحية أم باحث، ومن ثم عرض خانت CAPTCHA مزيفة.
بعد أن ينقر الضحية على مربع اختيار CAPTCHA، يتم تحويله إلى صفحة مزيفة تتعلق بالعملات المشفرة وتنتحل صفة خدمات مثل StandX، بهدف محتمل وهو سرقة الأصول الرقمية. ولكن إذا تم تصنيف الزوار على أنهم باحثون محتملون، فسيتم عرض صفحة بيضاء وهمية للمستخدمين. كما تتضمن الصفحة كود HTML متعلق بعرض سياسة الخصوصية المرتبطة بشركة وهمية تُدعى Offlido.
يتزامن هذا التقرير مع تقرير من أمازون ويب سيرفيسز. وقد أفاد بأن فريق أمازون إنسبيكتور قد حدد وأبلغ عن أكثر من 150,000 حزمة مرتبطة بحملة منسقة لزراعة رموز TEA في سجل npm، والتي تعود أصولها إلى موجة أولية تم اكتشافها في أبريل 2024.
«هذه واحدة من أكبر حوادث فيض الحزم في تاريخ سجلات المصادر المفتوحة، وتمثل لحظة محورية في أمن سلسلة التوريد،» قال الباحثان تشي تران وتشارلي بيكون. «تقوم الجهات الفاعلة المهددة بتوليد ونشر الحزم تلقائيًا لكسب مكافآت العملات الرقمية دون وعي المستخدم، مما يكشف كيف توسعت الحملة بشكل أسي منذ تحديدها لأول مرة.»
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
فلورنس موتشاي
تغطي فلورانس منذ 6 سنوات أخبار العملات الرقمية، والألعاب، والتكنولوجيا، والذكاء الاصطناعي. وقد زودتها دراستها لعلوم الحاسوب في جامعة ميرو للعلوم والتكنولوجيا، ودراسة إدارة الكوارث والدبلوماسية الدولية في MMUST بالمهارات اللغوية والملاحظة والتقنية اللازمة. عملت فلورانس في مجموعة VAP Group وككاتبة تحريرية في عدة وسائل إعلام متخصصة في العملات الرقمية.
