تعرض مشروع Ethersphere المتخصص في تطوير تقنيات شبكة Swarm اللامركزية للتخزين لهجوم خطير على سلسلة التوريد البرمجية، بعدما نجح مهاجمون في استغلال أنظمة النشر الرسمية للمشروع وإطلاق إصدارات خبيثة من أداتين أساسيتين هما bee-js 13.3.0 وSwarm Desktop 0.56.2، ما أتاح لهم سرقة مفاتيح المحافظ الرقمية وكلمات المرور وزرع أبواب خلفية داخل أجهزة الضحايا على أنظمة ويندوز وماك ولينكس.
ويُعد هذا النوع من الهجمات من أخطر التهديدات السيبرانية الحديثة، إذ لا يستهدف المستخدمين مباشرة، بل يخترق سلسلة تطوير البرمجيات نفسها، ما يجعل البرامج المصابة تبدو شرعية تماماً وتحمل التواقيع الرقمية الرسمية الخاصة بالمشروع.
كيف وقع الهجوم على مشروع Ethersphere؟
بحسب التحقيقات الأولية، تمكن المهاجمون من استغلال حسابات وأدوات النشر الآلي المستخدمة من جانب فريق Ethersphere لإصدار نسخ مزورة من البرمجيات الرسمية. وتم نشر الإصدار الخبيث من مكتبة bee-js على مستودع npm لفترة قصيرة بلغت نحو 75 دقيقة، بينما ظل الإصدار الخبيث من تطبيق Swarm Desktop متاحاً لنحو ثماني ساعات ونصف قبل اكتشافه وسحبه.
وتُعتبر مكتبة bee-js مكوناً أساسياً في منظومة Swarm، إذ تعتمد عليها أدوات متعددة داخل المشروع، بما في ذلك Swarm Desktop وأداة سطر الأوامر swarm-cli. ولذلك فإن تثبيت هذه المكتبة لم يكن يتطلب حتى تشغيلها بشكل مباشر، حيث كانت الشيفرة الخبيثة تُنفذ تلقائياً عبر آلية postinstall أثناء عملية التثبيت.
وتشير البيانات المتاحة إلى أن النسخة الخبيثة من Swarm Desktop وصلت إلى عشرات عمليات التنزيل، بينما قُدرت تنزيلات bee-js بنحو عدد محدود نسبياً، إلا أن خبراء الأمن السيبراني يؤكدون أن خطورة الهجوم لا تُقاس بعدد الضحايا بقدر ما تُقاس بالمستوى المرتفع من الامتيازات التي يحصل عليها المهاجم داخل الأنظمة المصابة.
برمجية خبيثة تستهدف محافظ العملات الرقمية
أظهر تحليل أمني أجرته شركات متخصصة في أمن سلاسل التوريد البرمجية أن الشيفرة الخبيثة كانت تقوم فور تشغيلها بالتواصل مع خادم خارجي لتنزيل مكونات إضافية أكثر تقدماً.
وبعد ذلك تبحث البرمجية داخل جهاز الضحية عن ملفين مهمين يستخدمهما تطبيق Swarm Desktop، الأول هو ملف الإعدادات config.yaml والثاني ملف المفتاح المشفر swarm.key.
ورغم أن مفتاح المحفظة محفوظ بصيغة مشفرة، فإن التطبيق كان يحتفظ بكلمة المرور اللازمة لفك تشفيره داخل ملف الإعدادات بنص واضح. وعند حصول المهاجمين على الملفين معاً يصبح بإمكانهم الوصول إلى أصول المستخدم الرقمية وسحب العملات والأرصدة المرتبطة بعقدة Swarm.
ويمثل ذلك خطراً مباشراً على مستخدمي الشبكة الذين يحتفظون بأرصدة من رموز xDAI وxBZZ أو يمتلكون حصصاً وأموالاً مرتبطة ببنية شبكة Swarm الاقتصادية.
أبواب خلفية لأنظمة ويندوز وماك ولينكس
لم يقتصر الهجوم على سرقة البيانات والمحافظ الرقمية فقط، بل تضمن أيضاً آليات متقدمة للحصول على وصول دائم إلى الأجهزة المستهدفة.
فعلى أنظمة لينكس وماك، قامت البرمجية بتحميل وتشغيل أداة وصول عن بعد مكتوبة بلغة Go وتعمل في الخلفية كخدمة مستقلة، مع تخزين ملفاتها داخل مجلد مخفي يصعب على المستخدمين ملاحظته.
أما على ويندوز، فقد استخدم المهاجمون نسخة أصلية من برنامج ScreenConnect المخصص للإدارة والوصول عن بعد، وهو برنامج شرعي تستخدمه المؤسسات التقنية، لكن تم توظيفه هنا كوسيلة للتحكم بالأجهزة المصابة.
وتشير التحليلات إلى أن البرمجية حاولت أيضاً الحصول على صلاحيات إدارية مرتفعة، وفي حال نجاحها كانت تضيف استثناءات داخل Microsoft Defender لتقليل احتمالية اكتشاف الأنشطة الضارة أو إيقافها.
ومن الجوانب اللافتة في الهجوم أن بعض مكونات البرمجية كانت تعتمد على عقد ذكي في شبكة إيثريوم للحصول على عنوان خادم القيادة والتحكم، وهو أسلوب يمنح المهاجمين مرونة كبيرة في تغيير البنية التحتية للهجوم دون الحاجة إلى تعديل البرمجية المزروعة داخل الأجهزة.
إجراءات الاستجابة والتحذيرات الأمنية
استجاب فريق Ethersphere بسرعة بعد اكتشاف الواقعة، حيث تم سحب الإصدار 0.56.2 من تطبيق Swarm Desktop واستبداله بالإصدار النظيف 0.56.3، كما أُزيلت النسخة الخبيثة من مكتبة bee-js وأعيد اعتماد الإصدار 13.2.0 كأحدث إصدار آمن متاح للتنزيل.
وأكد مطورو المشروع أن المهاجمين استخدموا بيانات اعتماد خاصة بأنظمة التكامل والنشر المستمر CI/CD، ما مكنهم من تمرير التحديثات الخبيثة عبر القنوات الرسمية للمشروع.
ونصحت الجهات الأمنية جميع المستخدمين الذين قاموا بتثبيت bee-js 13.3.0 أو تشغيل Swarm Desktop 0.56.2 باعتبار أجهزتهم مخترقة بالكامل، حتى لو لم تظهر مؤشرات مباشرة على الإصابة.
كما طُلب من المتأثرين تغيير كلمات المرور ومفاتيح الوصول والرموز السرية المستخدمة في الأنظمة المتضررة، ونقل الأصول الرقمية إلى محافظ جديدة يتم إنشاؤها من أجهزة موثوقة ونظيفة. كذلك أوصت التحذيرات الأمنية بإعادة بناء الأنظمة المصابة من مصادر موثوقة بدلاً من الاكتفاء بإزالة الملفات الضارة يدوياً، نظراً لاحتمال بقاء مكونات مخفية نشطة داخل النظام.
وتعيد هذه الحادثة إلى الأذهان سلسلة متنامية من الهجمات التي تستهدف منصات تطوير البرمجيات ومستودعات الحزم مفتوحة المصدر، حيث أصبح المهاجمون يفضلون اختراق أدوات التطوير والبنية التحتية الخاصة بالمطورين للوصول إلى أكبر عدد ممكن من الضحايا عبر تحديثات تبدو قانونية وموثوقة، وهو اتجاه يفرض على الشركات والمشروعات مفتوحة المصدر تشديد ضوابط النشر وإضافة طبقات مراجعة وموافقة إضافية قبل إصدار أي تحديثات جديدة.
