كشف باحثون في الأمن السيبراني عن تفاصيل حملة مستمرة لسرقة بيانات الاعتماد، تمكنت من اختراق حسابين بارزين لمشرفين على مشاريع مفتوحة المصدر لدفع سير عمل خبيث إلى أكثر من 340 مستودعاً على منصة غيت هاب. وتكشف هذه الحادثة عن ثغرة جوهرية في سلاسل التوريد البرمجية، حيث يمكن لاختراق حساب مشرف واحد أن يفتح الباب أمام تسريب كميات هائلة من الأسرار الرقمية عبر مئات المشاريع في وقت قياسي.
تفاصيل اختراق الحسابين البارزين
وفقاً لما أوردته شركة StepSecurity، استخدم المهاجم حساب تاكاشي كيتاو، مؤلف محرك الألعاب pyxel الذي يحظى بأكثر من 18,400 نجمة على غيت هاب، لدفع سير عمل خبيث إلى 27 مستودعاً بدءاً من الساعة 13:20 بتوقيت غرينتش. وبعد ثماني ساعات، جرى استخدام حساب هنري وو (henrywoo)، المؤلف الأصلي لمشروع athenadriver التابع لشركة أوبر، لدفع سير العمل نفسه إلى 318 مستودعاً في نافذة زمنية لم تتجاوز 16 دقيقة بين الساعة 21:10 و21:26 بتوقيت غرينتش.
وحتى التاسع من أكتوبر 2026، قالت شركة Socket إنها حددت أكثر من 500 حساب على غيت هاب قامت بتنفيذ سير العمل الخبيث في عشرات الآلاف من المستودعات منذ السابع من أكتوبر 2026. وقد نُسب هذا النشاط إلى حملة GhostAction، وهي حملة هجوم واسعة على سلسلة التوريد ظهرت لأول مرة في سبتمبر 2025، وأثرت على 817 مستودعاً عبر 327 مستخدماً على غيت هاب، ما أدى إلى تسريب 3325 سراً، من بينها رموز PyPI وnpm وDockerHub عبر حسابات مطورين مخترقة.
آلية العمل الخبيث وبيانات الاعتماد المستهدفة
في كلتا الحالتين، دفع الحسابان سير عمل يحمل اسم “التدقيق الأمني” (security-audit.yml) أو “أمن إجراءات غيت هاب” (github_actions_security.yml)، وهما مصممان لتسريب البيانات الحساسة إلى عنوان IP ثابت (“193.32.204[.]199”) عبر بروتوكول HTTP غير المشفر. وتحتوي البيانات الملتقطة على أسرار إجراءات غيت هاب المسماة الخاصة بالمستودع، بما في ذلك أسرار التكامل والتسليم المستمر، وبيانات اعتماد السحابة والذكاء الاصطناعي والبرمجيات كخدمة الموجودة في شجرة العمل وفي تاريخ git بالكامل، مثل مفاتيح AWS ومفاتيح واجهات Anthropic وOpenAI وOpenRouter البرمجية ورموز غيت هاب وغيت لاب.
سلسلة الهجوم خطوة بخطوة
تتكشف سلسلة الهجوم بأكملها على النحو التالي: يحصل المهاجم أولاً على بيانات اعتماد المشرف على غيت هاب، وفي الأغلب رمز وصول شخصي مسرب من سجلات برمجيات سرقة المعلومات أو من عمليات تسريب بيانات الاعتماد. ثم تُفحص ملفات سير العمل في المستودع بحثاً عن الأسرار كخطوة استطلاعية. بعد ذلك يُحقن سير عمل متنكر في هيئة تدقيق أمني في الفرع الافتراضي تحت هوية الضحية نفسها. وأخيراً تستخرج الحمولة المدمجة البيانات وترسلها إلى نقطة نهاية يتحكم بها المهاجم عبر أداة curl.
وأضافت StepSecurity أن سير العمل يُشغل عند الطلب وعند أي دفعة غير مفلترة على أي فرع أو وسم، ويجري الاستنساخ بعمق كامل، وينفذ خطوة “تدقيق” واحدة تقوم بأربعة أمور: إضافة الأسرار المسماة في المستودع التي جرى اكتشافها أثناء الاستطلاع، وفحص شجرة العمل بحثاً عن 13 نمطاً من أنماط بيانات الاعتماد المرتبطة بمفاتيح AWS وخدمات الذكاء الاصطناعي وخدمات التحكم في المصدر ومفاتيح واجهات البرمجة السحابية، وفحص تاريخ git بالكامل بحثاً عن الأنماط الـ13 ذاتها لحصاد بيانات الاعتماد التي ربما جرى إيداعها في المستودع ثم حذفها، وأخيراً اقتران معرفات مفاتيح الوصول في AWS بمفاتيح الوصول السرية المطابقة لها.
نطاق أوسع من التقارير السابقة
كانت شركة GitGuardian قد أبلغت في وقت سابق من الأسبوع أن حملة GhostAction دفعت سير العمل الخبيث إلى 772 مستودعاً عاماً تابعة لـ373 مستخدماً ومؤسسة على غيت هاب بين 31 أغسطس و30 سبتمبر 2026. وتستهدف سير العمل المحقون 2577 سراً، من بينها مفاتيح SSH الخاصة وبيانات اعتماد Azure وبيانات اعتماد سجلات الحاويات DockerHub وGHCR وبيانات اعتماد قواعد البيانات ومفاتيح الوصول في AWS وبيانات اعتماد FTP وبيانات اعتماد Google Cloud وFirebase ورموز غيت هاب ورموز بوتات تيليغرام وسلاك وديسكورد والمفاتيح المرتبطة بـCloudflare وnpm وPyPI ومزودي خدمات الذكاء الاصطناعي.
وفي حالة واحدة على الأقل رُصدت في 30 أغسطس 2026، عدل المهاجمون مستودع “kuafuai/DevOpsGPT” لتضمين برنامج تعدين XMRig في صورة Docker الخاصة بالمشروع. وحتى لحظة كتابة التقرير، لم تُنشر أي إصدارات حزم خبيثة باستخدام بيانات اعتماد النشر المخترقة.
توصيات عاجلة للمطورين
يُنصح المطورون بفحص مستودعاتهم بحثاً عن أي من سيري العمل على غيت هاب منذ 31 أغسطس 2026، وافتراض الاختراق في حال وجودهما. ويوصى بإلغاء بيانات اعتماد غيت هاب المخترقة وتدوير بيانات الاعتماد وحذف سير العمل الخبيث من جميع الفروع وفحص النسخ المتفرعة من المستودعات المصابة.
وقالت Socket إن “279 نسخة متفرعة في مساحة اسم henrywoo تحمل ملف سير العمل، وإذا كانت الإجراءات مفعلة، فإن الدفعات اللاحقة يمكن أن تشغل حصاد بيانات الاعتماد”. وأضافت أن “النسخ المتفرعة النهائية معرضة للخطر أيضاً إذا ورثت سير العمل الخبيث، سواء عند إنشائها حديثاً أو عبر المزامنة مع المستودع المصدر المتأثر”. وأشارت إلى أن “النسخ المتفرعة الخاصة والمرايا النهائية هي الأكثر تعرضاً، لأن المستودعات الخاصة هي المكان الذي توجد فيه بيانات الاعتماد المودعة فعلياً. وفي كلا الحسابين، تعيد كل عملية تشغيل معرف المستودع سواء عُثر على بيانات اعتماد أم لا، لذا يمتلك المشغل خريطة لسياقات التنفيذ القابلة للوصول بصرف النظر عن أي سرقة لبيانات الاعتماد”.
