كشف باحثون في الأمن السيبراني عن حملة نشطة تشبه “Shai-Hulud” تستغل ما لا يقل عن 19 حزمة npm خبيثة لسرقة بيانات الاعتماد ومفاتيح العملات الرقمية. الحملة التي أطلقت عليها شركة Socket اسم SANDWORM_MODE تعتمد على نشر شيفرات خبيثة داخل الحزم لتسريب معلومات النظام، رموز الوصول، أسرار بيئة التطوير، ومفاتيح واجهات برمجة التطبيقات (API)، مع القدرة على الانتشار التلقائي عبر استغلال هويات npm وGitHub المسروقة.
قدرات متقدمة في الاستهداف والانتشار
تحتوي الحزم على وظائف متعددة أبرزها استخراج بيانات عبر واجهة GitHub API مع آلية احتياطية عبر DNS، الحفاظ على الاستمرارية عبر “hooks”، الانتشار عبر بروتوكول SSH، وحقن خادم MCP يستهدف مساعدي البرمجة المعتمدين على الذكاء الاصطناعي. كما تقوم بسرقة مفاتيح واجهات برمجة التطبيقات الخاصة بتسعة مزودي نماذج لغوية كبرى، من بينهم OpenAI وAnthropic وGoogle وMistral.
وتشمل الحزم أسماء مثل: claud-code@0.2.1، crypto-locale@1.0.0، node-native-bridge@1.0.0، وsecp256@1.0.0. كما رُصدت أربع حزم “نائمة” لا تحتوي على وظائف خبيثة حالياً، مثل ethres وuudi.
استهداف بيئات التطوير ومساعدي البرمجة
أحد المكونات البارزة هو وحدة McpInject التي تنشئ خادم MCP مزيفاً يتظاهر بأنه مزود أدوات شرعي، لكنه يحقن أوامر خبيثة لقراءة ملفات حساسة مثل مفاتيح SSH وبيانات اعتماد AWS وملفات البيئة. هذه الوحدة تستهدف أدوات مثل Claude Code، Cursor، VS Code Continue، وWindsurf.
كما أن الحملة تضمنت محركاً متعدد الأشكال (Polymorphic Engine) قادر على إعادة تسمية المتغيرات، إعادة كتابة تدفق الأوامر، وإضافة شيفرات زائدة لتفادي الاكتشاف، رغم أن هذه الوظائف لم تُفعّل بعد في النسخ الحالية.
مراحل الهجوم وسيناريوهات إضافية
تتكون سلسلة الهجوم من مرحلتين: الأولى تركز على سرقة بيانات الاعتماد ومفاتيح العملات الرقمية، بينما الثانية تبدأ بعد مرور 48 ساعة لتوسيع نطاق الهجوم عبر سرقة بيانات من مديري كلمات المرور، الانتشار الدودي، وحقن MCP.
كما تضمنت الحملة إجراءات تدميرية مثل مسح مجلدات المستخدم في حال فقدان الاتصال بـ GitHub أو npm، إلا أن هذه الوظيفة معطلة حالياً.
إلى جانب ذلك، رصدت شركات مثل Veracode وJFrog حزم npm خبيثة أخرى مثل buildrunner-dev وeslint-verify-plugin، حيث تقوم الأولى بنشر برمجية Pulsar RAT عبر صورة PNG، بينما الثانية تتظاهر بأنها أداة ESLint شرعية لكنها تنفذ سلسلة إصابة متعددة المراحل تستهدف macOS وLinux.
استهداف مطوري Solidity وتوسيع نطاق الهجمات
أشارت تقارير Checkmarx إلى امتداد الهجمات نحو مطوري Solidity عبر إضافات مزيفة لـ VS Code مثل solid281، والتي تحتوي على وظائف خفية لتثبيت ScreenConnect على Windows أو تشغيل قشرة عكسية عبر Python على macOS وLinux. هذه الأنماط تعكس اتجاهاً أوسع يستهدف مطوري العقود الذكية بشكل خاص، مع استخدام امتدادات مزيفة لنشر برمجيات خبيثة إضافية.
