محافظ العملات المشفرة المستهدفة في هجوم سلسلة التوريد المرتبط بـ SAP عبر npm

تم سرقة أربع حزم npm كانت مرتبطة بنموذج برمجة التطبيقات السحابية (Cloud Application Programming Model) الخاص بـ SAP. أضاف المخترقون كوداً يسرق محافظ العملات المشفرة، وبيانات اعتماد السحابة، ومفاتيح SSH من المطورين.

وفقاً لتقرير من Socket، تشمل إصدارات الحزم المتأثرة ما يلي:

• [email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].
• @cap-js/[email protected].

تستلم هذه الحزم معاً حوالي 572,000 تحميل أسبوعياً من مجتمع مطوري SAP.

حزم npm تسرق بيانات اعتماد السحابة ومحافظ العملات المشفرة

شرح باحثو الأمن أن الحزم المخترقة تقوم بتثبيت نص مسبقاً يقوم بتنزيل وتشغيل ثنائي وقت تشغيل Bun من GitHub. ثم يتم تشغيل حمولة JavaScript مشفرة بحجم 11.7 ميجابايت.

لا تزال ملفات المصدر الأصلية لـ SAP موجودة، لكن هناك ثلاثة ملفات جديدة إضافية:

• ملف package.json معدل.
• setup.mjs.
• execution.js.

كانت هذه الملفات مؤرخة بساعات بعد الكود الحقيقي. وهذا يدل على أن ملفات tarballs تم تغييرها بعد تنزيلها من مصدر حقيقي.

وصفت Socket الأمر بأنه "إشارة قوية على حملة حقن منسقة وآلية"، مشيرة إلى أن نصيب التحميل (loader script) مطابق بايتياً في جميع الحزم الأربع، رغم وجودها في مساحة اسمية مختلفة.

عند تشغيل الحمولة، تتحقق مما إذا كان النظام مضبوطاً على اللغة الروسية وتتوقف إذا كان كذلك. ثم تتفرع المسارات بناءً على ما إذا كانت تجد بيئة CI/CD، من خلال التحقق من 25 متغيراً للمنصة، مثل GitHub Actions وCircleCI وJenkins، أو محطة عمل المطور.

على أجهزة الكمبيوتر الخاصة بالمطورين، تقرأ البرمجية الخبيثة أكثر من 80 نوعاً مختلفاً من ملفات بيانات الاعتماد. وتشمل ذلك مفاتيح SSH الخاصة، وبيانات اعتماد AWS وAzure، وإعدادات Kubernetes، ورموز npm وDocker، وملفات البيئة، ومحافظ العملات المشفرة على أحد عشر منصة مختلفة. كما تستهدف ملفات التكوين لأدوات الذكاء الاصطناعي مثل إعدادات Claude وKiro MCP.

تحتوي الحمولة على طبقتين من التشفير. تستخدم الدالة `__decodeScrambled()` خوارزمية PBKDF2 مع 200,000 تكرار SHA-256 وملح (salt) يُسمى "ctf-scramble-v2" للحصول على المفاتيح اللازمة لفك تشفير شيء ما.

اسم الدالة، والخوارزمية، والملح، وعدد التكرارات هي نفسها الموجودة في حمولات Checkmarx وBitwarden السابقة. هذا يشير إلى استخدام نفس الأدوات في حملات متعددة.

تراقب Socket النشاط تحت اسم "TeamPCP" وأنشأت صفحة تتبع منفصلة لما تصفه بحملة "mini-shai-hulud".

المخترقون يستهدفون مطوري العملات المشفرة بشكل مستمر

يُعد اختراق حزمة SAP أحدث سلسلة من هجمات سلسلة التوريد التي تستخدم مديري الحزم لسرقة بيانات اعتماد الأصول الرقمية.

كما أفادت Cryptopolitan في ذلك الوقت، وجد الباحثون خمسة حزم npm مزيفة الإملاء (typosquatted) في مارس 2026 سرّت المفاتيح الخاصة من مطوري Solana وEthereum وأرسلتها إلى بوت على Telegram.

وجدت ReversingLabs حملة تسمى PromptMink بعد شهر واحد. في هذه الحملة، تمت إضافة حزمة خبيثة تسمى @validate-sdk/v2 إلى مشروع تداول العملات المشفرة مفتوح المصدر من خلال التزام (commit) مولّد بالذكاء الاصطناعي.

تشير التغطية التي قدمتها Cryptopolitan لنتائج ReversingLabs إلى أن الهجوم، المرتبط بالمجموعة المدعومة من الدولة الكورية الشمالية المعروفة باسم Famous Chollima، استهدف بشكل محدد بيانات اعتماد محافظ العملات المشفرة والأسرار النظامية.

يختلف هجوم SAP من حيث الحجم والاتجاه. بدلاً من إنشاء حزم وهمية بأسماء تشبه الحزم الحقيقية، نجح المهاجمون في اختراق حزم حقيقية وشائعة الاستخدام كانت محفوظة تحت مساحة اسم SAP.

يوصي باحثو الأمن الفرق التي تستخدم خطوط أنابيب نشر CAP أو MTA الخاصة بـ SAP بفحص ملفات القفل (lockfiles) فوراً للتحقق من الإصدارات المتأثرة.

يجب على المطورين الذين قاموا بتثبيت هذه الحزم خلال نافذة التعرض تغيير أي بيانات اعتماد ورموز قد تكون متاحة في بيئات البناء الخاصة بهم، وفحص سجلات CI/CD بحثاً عن أي طلبات شبكة غير متوقعة أو تنفيذ لثنائيات.

وفقاً للباحثين، يبدو أن إصداراً متأثراً واحداً على الأقل، @cap-js/[email protected]، قد تم سحبه بالفعل من npm.