هل شن مخترقون من كوريا الشمالية هجوماً على سلسلة التوريد ضد arrayref؟

تقول شركة Wiz إن هجوم سلسلة التوريد الذي سمّم حزمة Rust المسماة arrayref، والموجودة في حوالي ثلاثة أرباع البيئات التي تعمل بنظام Rust، قد لفت مقارنات مع العمليات الأخيرة التي تنفذها كوريا الشمالية. 

أخفى التحديث الضار باباً خلفياً يسرق معلومات تسجيل الدخول داخل كود مصمم للعمل تلقائياً عند قيام المستخدمين بترجمة المشاريع. لذا، قد يكون أي شخص قام بترجمة مشروع يوم الخميس قد تعرض لخطر كشف جهازه وبياناته السرية.

لماذا تُلقى باللوم على كوريا الشمالية في اختراق arrayref؟ 

أشار باحثو Wiz، رامي مككارثي وبنجامين ريد، إلى نشرت MANTRA حيث لاحظوا أن حمولة arrayref ترسل إشارات إلى مسار للأوامر والتحكم، /49890878، يظهر أيضاً في حملة Mastra. 

تربط مايكروسوفت حملة Mastra بمجموعة اختراق كورية شمالية تطلق عليها اسم Sapphire Sleet. 

عنوان بروتوكول الإنترنت (IP) المستخدم في هجوم arrayref يشترك في نفس الشهادة الأمنية مع عنوان آخر مستخدم في حملة Mastra. بالإضافة إلى ذلك، أشار ضحية أبلغت عن نشاط مشبوه إلى عنوان IP رأت Google Cloud استخدامه في هجوم axios npm. 

تقول ماندانت إن الهجوم تم بواسطة مجموعة كورية شمالية تُدعى UNC1069. استخدم كلا الهجومين نفس شركة الاستضافة، Hostwinds.

كان من الصعب ملاحظة الهجوم لأنه لم يتغير كثيراً. إيلياس مكارى، باحث أمني من شركة Aikido، وجد أن الكود الفعلي داخل حزم Rust الثلاث، arrayref و internment و append-only-vec، لم يتغير. كان التغيير الوحيد هو إضافة تبعية جديدة واحدة إلى قائمة كل حزمة تسمى proc-macro1.

هذا الاسم هو خطأ إملائي لحزمة proc-macro2 الشهيرة، التي تجاوز عدد تنزيلاتها 154 مليوناً. تتضمن الحزمة المزيفة حتى كود proc-macro2 الحقيقي، لذا لا يزال البرنامج يُبنى ويمرر جميع الاختبارات. 

كان الجزء الضار مخفياً في سكريبت البناء. 

تشغيل Cargo لبرامج بناء السكربتات تلقائياً أثناء وقت الترجمة، لذا، كما أوضح فريق استجابة أمان Rust في نصيحته, كان مجرد ترجمة مشروع يستدعي النسخة السيئة كافياً لتفعيل الهجوم. 

بمجرد التشغيل، سرق المرحلة الثانية من الهجوم كلمات المرور المحفوظة من متصفحات Chrome و Brave و Edge وثبتت نفسها لتبقى على قيد الحياة بعد إعادة تشغيل الكمبيوتر على أنظمة Windows و Mac و Linux.

أكبر اختراق لحزمة Rust من حيث عدد التنزيلات

أعلنت Aikido أن هذا الهجوم هو أكبر اختراق لحزمة Rust رآته، مقاسة بعدد التنزيلات، حيث تصل حزمة arrayref، المستخدمة في أدوات Solana و Ethereum، إلى حوالي 244 مليون تنزيل إجمالاً. وقد كان التعرض حياً لمدة 86 دقيقة قبل حذفه. 

قال الفريق إن Nextron Systems قدمت التقرير الأولي. وبمجرد اكتشاف الهجوم، قام الفريق بإلغاء سحب الإصدارات النظيفة وقفل حساب المُصنِّع. 

قال فريق Rust إنه لا يعتقد أن المؤلف تصرف بنية خبيثة، بل قيّم أن جهازه أو بيانات الاعتماد الخاصة به قد تم اختراقها. 

جدير بالذكر، أعلنت Amazon في 29 يوليو أنها ربطت سلسلة من اختراقات مكتبات npm بعامل واحد مرتبط بكوريا الشمالية. كما ذكرت TRM Labs في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل. أن المجموعات الكورية الشمالية شكلت حوالي 76% من إجمالي قيمة اختراقات العملات المشفرة في عام 2026 حتى أبريل (نحو 577 مليون دولار). 

قال باحث Black Hat Vangelis Stykas إنه تتبع مخترقي كوريا الشمالية إلى 1,640 شركة عبر 57 دولة. وجد أنهم غالباً ما يغرون المطورين بعروض وظيفية مزيفة تثبت برمجيات خبيثة، مشابهة لتبعية البناء المسمومة في هذه الحالة.