قام المهاجمون بتحميل برمجية خبيثة على حزمة Arweave WeaveDB npm لنشر البرمجيات الخبيثة

زرع المهاجمون برمجية تجسس داخل 36 حزمة npm مرتبطة بنظام Arweave. استهدفت معلومات اعتماد المطورين، ومفاتيح SSH، وملفات محفظة Exodus للعملات المشفرة. تتبع شركة الأمن JFrog الهجوم إلى حساب مصمم مخترق.

تُسمى البرمجية الخبيثة IronWorm، وهي مبنية بلغة Rust. تنشط بمجرد قيام المطور بتثبيت حزمة npm. بمجرد تشغيلها، تفحص الحاسوب المصاب بحثاً عن 86 متغيراً بيئياً و20 ملفاً للمعلومات الاعتمادية، كما وجدت فريق البحث في JFrog. تستهدف رموز AWS، ومفاتيح واجهة برمجة التطبيقات (API) الخاصة بـ Anthropic وOpenAI، ومعلومات اعتماد تسجيل الدخول إلى npm، وبيانات محافظ العملات المشفرة.

تحمل حزم مشروع Arweave برمجيات خبيثة Rust مخفية

قام المهاجمون باختراق حساب npm يُدعى

تم إعادة نشر جميع الحزم المرتبطة بحساب

تم تعيين الملف ليعمل تلقائياً من خلال preinstall خطاف في package.json, مما يعني أنه انطلق قبل أن يبدأ npm في تثبيت أي شيء. كل ما كان على الضحية القيام به هو تشغيل npm install.

قام فريق JFrog بتحليل الملف ووجد أنه كان مغلفاً بطريقة مصممة لخداع أدوات فك الضغط القياسية. بداخله كان هناك برنامج Rust كبير يحتفظ بسلاسله النصية مشفرة بشكل فردي، مع قفل كل سلسلة على حدة، مما يجعل التحليل أصعب بكثير.

عند فك تشفير تلك السلاسل النصية أخيراً، كشفت عن نقاط نهاية واجهة برمجة تطبيقات GitHub، ومسارات ملفات المعلومات الاعتمادية، وحسابات روبوت وهمية مرتبطة بمعرفات مستخدمين حقيقية على GitHub، وقوالب لحقن شفرة برمجية خبيثة في سجلات الحزم الأخرى.

تسمح الرموز المسروقة من GitHub للبرمجيات الخبيثة بدفع الالتزامات وإصابة المزيد من المستودعات

بعد جمع المعلومات الاعتمادية، استخدم IronWormها لدفع الالتزامات إلى المستودعات التي يمكن للضحية الوصول إليها. زرعت تلك الالتزامات نفس الثنائي الخبيث في حزم أخرى، والتي يمكن بعد ذلك نشرها على npm وإصابة المطور التالي في السلسلة.

وجد JFrog 57 التزامات خبيثة مؤرخة بشكل زائف عبر تسع جيت هب منظمات. استخدمت الالتزامات اسم المؤلف [email protected]. تم تزوير الطوابع الزمنية لتتطابق مع أحدث التزام شرعي في كل مستودع. بدا واحد منها مؤرخاً منذ 13 عاماً، على الرغم من أن سجلات GitHub Actions أكدت أن جميع عمليات الدفع حدثت خلال بضعة أيام من الاكتشاف.

شملت المنظمات المتأثرة asteroid-dao، weavedb، ArweaveOasis، وحسابات شخصية متعددة مرتبطة بالمطور

نشر IronWorm أيضاً جذر kernel eBPF لإخفاء نفسه على الآلات المصابة. تم توجيه الاتصالات إلى مشغله عبر شبكة Tor. ترك مترجم Rust شفرة مصدر الجذر في الثنائي، وهو خطأ تشغيلي جعل التحليل أسهل.

واحدة من الغرائب هي أن المشغل قام بتخزين عبارة استعادة محفظة العملات المشفرة الخاصة به بشكل ثابت في البرمجية الخبيثة. خلص JFrog إلى أن هذا كان إجراءً وقائياً لمنع البرمجية الخبيثة من استخراج معلومات اعتماد المهاجم الخاصة به أثناء الاختبار.

تستمر هجمات البرمجيات الخبيثة في ضرب npm

أفادت شركة أمن التطبيقات Ox Security أن أن الهجوم تم اكتشافه في وقت مبكر، قبل أن يتمكن من الانتشار إلى المزيد من الحزم على npm.

تم وضع الإصدارات الخبيثة كـ

في 14 مايو، استغل القراصنة حساباً لمصمم غير نشط لـ node-ipc، وهي حزمة ذات أكثر من 822,000 تحميل أسبوعي. تم تنفيذ الاستغلال عن طريق إعادة تسجيل النطاق الإلكتروني المنتهي الصلاحية للمصمم وإعادة تعيين كلمة مرور npm. كان لثلاثة متغيرات مخترقة حمائل لسرقة المعلومات الاعتمادية تستهدف أكثر من 90 فئة من أسرار المطورين.

حددت شركتا الأمن Endor Labs وStepSecurity هجوماً متزامناً ولكن مميزاً باستخدام برمجية خبيثة تعتمد على JavaScript تسمى binding.gyp، والتي نفذت تسمم السجلات وإصابة إجراءات GitHub خلال نفس الإطار الزمني.

يجب على المطورين الذين قاموا بتثبيت أي من حزم WeaveDB المتأثرة بتدوير جميع المعلومات الاعتمادية، والتحقق من ملفات القفل بحثاً عن تغييرات غير متوقعة في الإصدارات، وتمكين المصادقة الثنائية على حسابات npm وGitHub.