تستهدف حملة سلسلة التوريد حزم SAP npm باستخدام برامج ضارة لسرقة بيانات الاعتماد

التحديث 1520 بالتوقيت العالمي، 30 أبريل 2026: تم اختراق حزمتين إضافيتين اليوم:

حزمة NPM: الاتصال الداخلي العميل@7.0.5

حزمة باي بي آي البرق@2.6.2 و 2.6.3

يبدو أن كلتا الحزمتين تحتويان على نفس الوظيفة الضارة التي تمت مشاهدتها مسبقًا في عملية SAP. التحليل مستمر.

التحديث 2140 بالتوقيت العالمي، 29 أبريل 2026: تحليل الحمولة الصافية للعميل والاتصال الداخلي

يُظهر تحليل الحمولات الضارة تطورًا في تقنيات الترشيح وجمع بيانات الاعتماد. بالإضافة إلى عمليات التصفية السابقة المستندة إلى GitHub، تستفيد البرامج الضارة الآن من البنية التحتية المخصصة، وفي المقام الأول النطاق zero.masscan.cloud، مع تنفيذ آلية احتياطية ديناميكية أيضًا.

يسترد الإجراء الاحتياطي بيانات التكوين من GitHub من خلال البحث عن الالتزامات التي تحتوي على كلمة رئيسية محددة (“beautifulcastle”)، والتي تتضمن حمولة مشفرة base64 تشير إلى نقطة نهاية التصفية (حاليًا يتم حلها لـ 94.154.172[.]43/v1/telemetry. يسمح هذا الأسلوب للمهاجمين بتحديث البنية التحتية للتسلل دون نشر إصدارات جديدة من الحزم الضارة.

تعمل الحمولة الموجودة في حزمة الاتصال الداخلي للعميل على توسيع القدرات بشكل أكبر من خلال المسح النشط للأسرار في بيئات Kubernetes وHashiCorp Vault. فهو يستعلم عن نقاط نهاية خدمة Kubernetes وتكوينات Vault، باستخدام المطابقة الشاملة المستندة إلى regex لاستخراج بيانات الاعتماد مثل مفاتيح AWS والرموز المميزة لـ GitHub وnpm وسلاسل اتصال قاعدة البيانات والمفاتيح الخاصة وأسرار واجهة برمجة التطبيقات (على سبيل المثال، Stripe وSlack وTwilio). يشير هذا إلى تركيز قوي على البيئات السحابية الأصلية وخطوط CI/CD، مما يزيد بشكل كبير من التأثير المحتمل للتسوية من خلال الحصاد الآلي لبيانات الاعتماد على نطاق واسع.

التحديث 1745 بالتوقيت العالمي، 29 أبريل 2026: تم تأكيد إسناد TeamPCP وتوثيق الوظائف الجديدة.

أدت عملية جديدة لسلسلة التوريد من TeamPCP تطلق على نفسها اسم “Mini Shai Hulud” إلى اختراق حزم npm المتعلقة بـ SAP عن طريق حقن نصوص برمجية ضارة للتثبيت المسبق يتم تنفيذها أثناء تثبيت التبعية. تستفيد الحملة من حمولة متعددة المراحل لحصد أسرار المطورين وCI/CD عبر GitHub وnpm ومقدمي الخدمات السحابية الرئيسيين، وتقوم بتسريب البيانات عبر مستودعات GitHub التي يتحكم فيها المهاجم. ويحتوي أيضًا على تعليمات برمجية مصممة للنشر عبر الرموز المميزة المخترقة. من المحتمل جدًا أن يكون TeamPCP مسؤولاً عن هذه الحملة، استنادًا إلى مفتاح RSA العام المشترك والتداخلات في إجراءات التشفير وحواجز الحماية في المنطقة.

تم إنشاء إصدارات ضارة من حزم النظام البيئي SAP المشروعة (على سبيل المثال، `@cap-js/sqlite`، `@cap-js/postgres`) عن طريق تعديلها لتشمل برنامج نصي `للتثبيت المسبق` ينفذ `setup.mjs` تلقائيًا أثناء `تثبيت npm`. يقوم هذا البرنامج النصي بتنزيل وقت تشغيل Bun وتنفيذ حمولة مشوشة (`execution.js`)، مما يتيح تنفيذ التعليمات البرمجية التي يتحكم فيها المهاجم قبل اكتمال تثبيت الحزمة.

عند تنفيذها، تكون حمولة المرحلة الثانية عبارة عن إطار عمل لسرقة بيانات الاعتماد والنشر مصمم لاستهداف كل من بيئات المطورين وخطوط أنابيب CI/CD. فهو يجمع البيانات الحساسة بما في ذلك رموز GitHub، وبيانات اعتماد npm، وأسرار السحابة (AWS، وAzure، وGCP)، ورموز Kubernetes، وأسرار GitHub Actions – مع الاستفادة من التقنيات المتقدمة مثل استخراج الأسرار من ذاكرة التشغيل. يحدث التسلل عبر مستودعات GitHub العامة، حيث ينشر حمولات مشفرة. بالإضافة إلى ذلك، تشتمل البرامج الضارة على منطق نشر لإصابة مستودعات إضافية وتوزيعات للحزم.

أثناء الإعداد الأولي، تقوم البرامج الضارة بإجراء فحص للنظام لتحديد ما إذا كان الجهاز المخترق مهيأًا للغة الروسية. يقوم بذلك عن طريق فحص إعدادات التاريخ/الوقت المحلية للنظام ومتغيرات لغة البيئة الخاصة به. إذا بدأت أي من هذه القيم بـ “ru”، فإن الحمولة تنتهي فجأة من تلقاء نفسها، مما يضمن عدم تسرب أي بيانات من الأنظمة الناطقة باللغة الروسية.

في حين أننا نقدر أن هذه الحملة نشطة حاليًا، فإن حجم المستخدمين المخترقين ومستودعات التسلل التي أنشأها المهاجمون يبدو أقل بكثير من حجم Shai-Hulud أو Shai-Hulud 2.0.

تحديثات ملحوظة

تتبع هذه العملية على نطاق واسع نفس الأساليب المستخدمة في عمليات TeamPCP السابقة، ولكنها تحتوي على عدد من التطورات الملحوظة.

الترشيح على جيثب

في عملية Bitwarden، ستحاول البرامج الضارة إخراج كتلة الأسرار المشفرة إلى GitHub فقط في حالة فشل آلية الترشيح الأساسية إلى مجال القيادة والسيطرة. في هذه العملية، يعد التسلل إلى GitHub هو الطريقة الأساسية والوحيدة لاستخلاص الأسرار. الآليات متشابهة إلى حد كبير، باستخدام نفس نظام التسمية (كلمة 1-كلمة 2-رقم) ونفس وصف الريبو “”تخزين تكوين Checkmarx” أكبر تغيير هو أن عملية SAP تستخدم واجهة برمجة تطبيقات GraphQL، بدلاً من واجهة برمجة تطبيقات REST، التي تم استخدامها في عملية Bitwarden.

الرجوع إلى تسمم جيثب

إذا كانت مجموعة بيانات الاعتماد غير قادرة على تحديد أ gh[op]_ (PAT/OAuth) الرمز المميز و GITHUB_REPOSITORY تم تعيينه وسيحاول تسميم مستودع GitHub هذا. لا يفعل هذا إلا إذا ghs_ أو ghs_old الرموز المميزة موجودة (ولا توجد رموز GitHub PAT المميزة). يتم وضع الملفات أدناه في الريبو، في محاولة لإصابة المستخدمين الذين يفتحون الريبو في Claude Code أو VSCode:

سرقة بيانات اعتماد المتصفح

تضيف عملية SAP القدرة على سرقة بيانات الاعتماد من متصفحات متعددة (Chrome وSafari وEdge وBrave وChromium) وتصفية أي كلمات مرور موجودة هناك. هذه الميزة لم تكن موجودة في أي من العمليات السابقة.

آلية التراجع للترشيح

بالتوافق مع هجمات Shai-Hulud السابقة، يستخدم هذا البديل الجديد آلية احتياطية لاستخراج الأسرار من البيئات التي تفتقر إلى رموز GitHub (GH) أو بيانات الاعتماد المحلية. إذا فشل تجميع بيانات الاعتماد المحلية، تبحث البرامج الضارة بشكل نشط في GitHub عن عمليات التنفيذ التي تبدأ بعبارة توقيع محددة: “OhNoWhatsGoingOnWithGitHub”.

هذه العبارة هي رسالة الالتزام الافتراضية التي تستخدمها البرامج الضارة عند تصفية البيانات. يُلحق بهذه العبارة رمز GitHub المشفر مزدوج القاعدة 64:

"message": "OhNoWhatsGoingOnWithGitHub:WjJodlh[Redacted]" 

وبمجرد تحديد موقعها، تقوم البرامج الضارة باستخراج هذا الرمز المميز والتحقق من صحته لتسهيل عملية استخراج المزيد من البيانات. وبالتالي، حتى لو لم تقم مؤسستك بإنشاء أي مستودعات جديدة، فقد تظل أسرارك معرضة للخطر ويتم توجيهها إلى مستودع غير ذي صلة تمامًا ويتحكم فيه المهاجم.

الإسناد

يقيّم Wiz بثقة عالية أن هذا هو عمل مشغلي TeamPCP أنفسهم الذين قاموا سابقًا باختراق مكتبات متعددة. يرجع هذا التقييم إلى مفتاح RSA العام المشترك المستخدم لتشفير الأسرار المسربة. وهذا يعني أن نفس المفتاح الخاص سيقوم بفك تشفير الحمولات، مما يحد من إمكانية الوصول إلى البيانات المسحوبة إلى TeamPCP.

القواسم المشتركة الإضافية:

• تحتوي البرامج الضارة على فحص مبكر للغة النظام، وإذا تبين أنها “ru”، فإن البرامج الضارة تخرج ولا تقوم بتصفية أي أسرار. كان هذا موجودًا سابقًا في تسويات Checkmarx وBitwarden.

• تستخدم الحزمة نفس ربط تثبيت npm لبدء التنفيذ الذي تم استخدامه في تسوية Bitwarden CLI.

• كان الاستخلاص القائم على GitHub إلى مستودعات Dune تحت عنوان طريقة C2 الاحتياطية لعملية Bitwarden CLI، ولكنه الآن هو الخيار الأساسي.

وفي حين أن هذه العملية تحتوي على إشارات إلى عمليات شاي خلود من خريف عام 2025، إلا أنه لا يمكننا ربطها بشكل قاطع أو القول بأنها جهة فاعلة منفصلة.

حزم npm:

• @cap-js/sqlite – الإصدار 2.2.2

• @cap-js/postgres – الإصدار 2.2.2

• @cap-js/db-service – الإصدار 2.10.1

• ميغابايت – v1.2.48

@cap-js/postgres 2.2.2

@cap-js/db-service 2.10.1

@cap-js/sqlite 2.2.2

إم بي تي 1.2.48

القطارة المشتركة (جميع الحزم الأربعة)

• تحديد التعرض على الفور: ابحث في البيئات وملفات القفل ومخازن العناصر وسجلات CI عن إصدارات الحزم المتأثرة والملفات الضارة (setup.mjs وexecution.js).

• تدوير جميع بيانات الاعتماد: في حالة الاشتباه في التعرض، قم بتدوير رموز GitHub، ورموز npm، وبيانات الاعتماد السحابية، ورموز Kubernetes المميزة، وأسرار CI/CD، حيث تستهدف هذه البرامج الضارة جميعها.

• تدقيق نشاط GitHub: ابحث عن الالتزامات المشبوهة أو المستودعات المنشأة حديثًا أو المؤشرات مثل الكلمة الأساسية للانتشار ومؤلفي الالتزام غير العاديين.