الثقة في الحِزم تحت الحصار: أحدث تحركات Miasma تمتد عبر npm وGitHub Actions وGo

أكثر ما يثير القلق في هذه الحملة ليس البرمجية الخبيثة نفسها فحسب، بل المكان الذي تحاول أن تستقر فيه: داخل الأنظمة التي يثق بها المطورون لبناء الشيفرة وشحنها. في هذه الحالة، تتبع الباحثون نشاطًا مرتبطًا بعائلة البرمجيات الخبيثة Miasma مسَّ حزم npm، واستغل تدفقات عمل GitHub Actions، وقيل إنه وصل إلى منظومة Go.

حقائق سريعة

• تم الإبلاغ عن إصدارات npm خبيثة لحزم LeoPlatform وRStreams.
• تم استغلال تدفقات عمل GitHub Actions كجزء من الحملة.
• تم الإبلاغ عن أن النشاط امتد إلى منظومة Go.
• تتوافق هذه الحالة مع نموذج سلسلة التوريد، حيث تصبح مسارات البناء والإصدار الموثوقة هي الهدف.
• لا يزال مسار الاختراق الكامل والنطاق الإجمالي غير واضحين علنًا.

عندما يصبح نظام البناء ساحة المعركة

تُعد برمجيات سلسلة التوريد الخبيثة خطيرة لأنها لا تحتاج إلى اختراق كل هدف على حدة. إذا تمكن المهاجم من التأثير في إصدار حزمة أو الأتمتة المحيطة به، فقد يصل إلى العديد من المطورين اللاحقين عبر تحديثات الاعتماديات العادية. لهذا السبب، فإن سلوك npm أثناء التثبيت، وصلاحيات CI/CD، وضوابط الثقة في السجلات، كلها أمور مهمة للغاية.

تقع GitHub Actions في قلب سلسلة الثقة هذه. يمكن أن يكون إساءة استخدام تدفقات العمل مهمة حتى عندما يبدو الشيفرة في المستودع نظيفة، لأن طبقة الأتمتة قد تملك وصولًا إلى بيانات اعتماد النشر أو الأصول الموقعة أو خطوات النشر. ومن منظور دفاعي، يحول ذلك مراجعة تدفقات العمل إلى ضابط أمني، لا إلى مهمة صيانة عادية.

ويُعد جانب Go مهمًا بشكل خاص لأنه يشير إلى أن النشاط لا يبقى داخل مجتمع لغوي واحد. يستخدم نظام وحدات Go التحقق من المجموعات التجزيئية وملف go.sum للمساعدة في اكتشاف العبث، ما يرفع السقف أمام المهاجمين والمدافعين على حد سواء. لكن هذه الضوابط لا تلغي المخاطر إذا كان حساب الناشر أو سير عمل الإصدار أو مسار التوزيع الداخلي يتعرض أصلًا للضغط.

وما لم يثبت بعد لا يقل أهمية. لا تؤكد المعلومات المتاحة للعامة بشكل كامل سلسلة الاختراق الدقيقة، أو ما إذا كانت الأسرار قد سُرقت، أو كيف تم الوصول إلى منظومة Go. الأدلة المتاحة تدعم تحليلًا للمخاطر، لا ادعاءً قاطعًا بأن كل مشروع أو مشرف متأثر قد اختُرق بالطريقة نفسها.

لماذا يهم هذا المطورين

الدرس ليس مجرد "فحص الحزم بشكل أدق". بل إن تسليم البرمجيات الحديثة هو سلسلة من قرارات الثقة: هوية السجل، أذونات تدفقات العمل، أتمتة الإصدار، والتحقق من الأصل والسلامة. إذا كانت أي طبقة من هذه الطبقات متساهلة أكثر من اللازم، فقد يبدو الإصدار الخبيث طبيعيًا بما يكفي ليتفشى.

ينبغي للمدافعين التعامل مع نشر الحزم باعتباره عملية عالية المخاطر، وتقييد أسرار تدفقات العمل، والإبقاء على فحوصات الأصل والسلامة مفعلة كلما أمكن. بالنسبة لمشاريع Go، يظل التحقق من المجموعات التجزيئية حاجزًا مهمًا. أما في منظومات npm، فيمكن أن يقلل النشر الموثوق والتعامل الحذر مع نصوص التثبيت من التعرض، لكن فقط إذا كانت سلسلة الإصدار نفسها تحت سيطرة صارمة.

الخلاصة

إن الظهور الأخير لـ Miasma يذكّرنا بأن هجمات سلسلة توريد البرمجيات هي في الحقيقة هجمات على الثقة. الشيفرة ليست سوى جزء واحد من اللغز. الهدف الحقيقي هو الآلية التي تجعل البرمجيات تبدو آمنة وروتينية وجاهزة للنشر. أمّن تلك الآلية، وإلا فقد تصل الحزمة الخبيثة التالية وهي ترتدي شارة بناء موثوق.

TECHCROOK

مفتاح أمان عتادي: طريقة بسيطة لإضافة مصادقة قوية متعددة العوامل إلى حسابات المطورين والسجلات والسحابة. وهو مفيد بشكل خاص لحماية عمليات النشر، وتدفقات العمل، وتسجيلات الدخول الإدارية.

بطاقة Techcrook: مفتاح أمان عتادي

WIKICROOK

• هجوم على سلسلة التوريد: هجوم يستهدف توزيع البرمجيات أو مسارات البناء للوصول إلى المستخدمين اللاحقين.
• حزمة npm: حزمة برمجية بلغة JavaScript منشورة عبر سجل npm.
• GitHub Actions: نظام أتمتة GitHub لبناء الشيفرة واختبارها ونشرها.
• قاعدة بيانات المجموعات التجزيئية لـ Go: نظام تحقق يساعد على تأكيد سلامة وحدات Go.
• إساءة استخدام تدفقات العمل: إساءة استخدام مسارات الأتمتة لنشر البرمجيات أو تعديلها أو نقلها بطرق غير مصرّح بها.