بدأت حملة هجومية واسعة النطاق تُعرف باسم "wfx-loot" في استهداف منصة GitHub، حيث استهدف المهاجمون أكثر من 60,000 مستودع برمجية (Repository) لاختبار الوصول المسروق وزرع برمجيات خبيثة تهدف إلى سرقة بيانات الاعتماد الحساسة. ووفقاً لتقارير من شركات أمنية مثل Aikido Security وStepSecurity، فقد تم رصد ما يقرب من 4,800 حساب مخترق استُخدمت في تقديم طلبات سحب (Pull Requests) مشبوهة لاختبار الصلاحيات المتاحة.
وأوضحت التقارير أن البرمجية الخبيثة نجحت في العمل داخل أكثر من 1,800 مستودع برمجية حيث سمحت الإعدادات والصلاحيات بذلك، بينما سجلت شركة SafeDep وصول التعديلات الخبيثة إلى حوالي 8,093 مستودعاً عاماً، وهو ما لا يعني بالضرورة نجاح تنفيذ البرمجية في جميعها.
آلية الهجوم: استغلال الثقة لا الثغرات
من النقاط الجوهرية في هذا الهجوم هو أن المهاجمين لا يستغلون ثغرة برمجية في GitHub Actions، بل يعتمدون بدلاً من ذلك على استخدام "رموز وصول" (Tokens) صالحة تعود لمطورين أو حسابات برمجية (Bots) تم الاستيلاء عليها مسبقاً. وقد تم حقن البرمجية الخبيثة في عدة أماكن تشمل:
- تدفقات عمل GitHub Actions (Workflows).
- نصوص Shell التي تشغلها أنظمة التكامل المستمر (CI).
- خطافات تثبيت حزم npm، مما يشكل خطراً على المطورين الذين يثبتون التبعيات (Dependencies) أثناء وجود التعديلات الخبيثة.
ما الذي يغيره هذا الهجوم فعلياً؟
تكمن خطورة حملة "wfx-loot" في تحول استراتيجية المهاجمين من البحث عن ثغرات تقنية (Exploits) إلى استغلال "الثقة الممنوحة" للحسابات المخترقة. بدلاً من محاولة كسر النظام، يقوم المهاجم باستخدام مفاتيح شرعية للقيام بأعمال غير شرعية، مما يجعل اكتشافها أصعب بكثير. تستهدف البرمجية الخبيثة سرقة رموز GitHub، وأسرار المستودعات، وبيانات اعتماد السحابة مثل AWS وAzure، بالإضافة إلى مفاتيح خدمات الذكاء الاصطناعي (AI service keys)، مما قد يؤدي إلى اختراق كامل للبنية التحتية السحابية للمؤسسات وتوسيع نطاق الوصول إليها.
ولإخفاء آثارهم، يتبع المهاجمون أسلوباً يعتمد على عكس التغييرات البرمجية وحذف سجلات تشغيل تدفقات العمل (Workflow runs) بعد إتمام المهمة. كما لوحظ استخدام رموز صادرة عن تطبيق Fly.io في بعض الطلبات، رغم عدم وجود دليل حتى الآن على اختراق البنية التحتية لشركة Fly.io نفسها.
توصيات أمنية للمطورين والمؤسسات
نظراً لخطورة الموقف، تنصح الشركات الأمنية المؤسسات التي قد تكون تعرضت لتنفيذ البرمجية الخبيثة بضرورة اتخاذ إجراءات فورية تشمل:
- إلغاء كافة رموز الوصول (Tokens) التي يُشتبه في تعرضها للاختراق.
- تدوير (Rotate) جميع الأسرار وبيانات الاعتماد التي قد تكون كُشفت.
- مراجعة سجلات الحوسبة السحابية بدقة للبحث عن أي تغييرات أو أنشطة غير مصرح بها.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.