كشفت تقارير أمنية جديدة عن تطور مقلق في هجوم سلسلة التوريد المعروف باسم GhostAction، بعدما انتقل منفذوه من زرع تدفقات عمل خبيثة داخل مستودعات GitHub المخترقة إلى تنفيذ حملات تصيد تستهدف مطوري البرمجيات مفتوحة المصدر، مع نشر برمجيات سرقة بيانات متخفية داخل ملفات خطوط مزيفة واختراق عشرات المشاريع البرمجية.
ويشير هذا التطور إلى محاولة المهاجمين تجاوز الإجراءات الدفاعية التي اتخذتها منصة GitHub مؤخراً لمنع تشغيل تدفقات العمل الخبيثة، عبر الانتقال إلى أساليب أكثر استدامة تضمن بقاء البرمجيات الضارة على أجهزة المطورين حتى بعد إزالة الأكواد المصابة من المستودعات.
نطاق جديد للتصيد وسرقة حسابات GitHub
بحسب تحليل نشرته منصة OpenSourceMalware، أنشأ المهاجمون نطاقاً يحمل اسم “my-github[.]com” واستخدموه في حملة تصيد إلكتروني متقنة استهدفت مسؤولي المشاريع مفتوحة المصدر.
واعتمدت الحملة على رسائل بريد إلكتروني تنتحل هوية تنبيهات الأمان الرسمية الصادرة من GitHub، حيث تلقى بعض المطورين رسائل تزعم اكتشاف عملية تسجيل دخول إلى حساباتهم من موسكو، وتدعوهم إلى الضغط على رابط لتأمين حساباتهم.
لكن الصفحة التي يتم توجيه الضحية إليها لم تكن سوى بوابة مزيفة تعمل كخادم وكيل عكسي، يسمح للمهاجمين بالتقاط كلمة المرور ورمز المصادقة الثنائية في الوقت الفعلي أثناء عملية تسجيل الدخول.
ولم يتوقف الأمر عند هذا الحد، إذ تضمنت الصفحة الخبيثة أكواد JavaScript قادرة على تنفيذ عملية تفويض سرية لتطبيق OAuth داخل GitHub دون علم الضحية، مما يمنح المهاجمين صلاحيات موسعة على الحساب المستهدف.
وتشمل تلك الصلاحيات القدرة على قراءة وتعديل المستودعات البرمجية، وتغيير ملفات GitHub Actions، والوصول إلى معلومات تخص المؤسسات والفرق البرمجية المرتبطة بالحساب.
استغلال OAuth يمنح المهاجمين وصولاً طويل الأمد
يُعد هذا الأسلوب تطوراً ملحوظاً مقارنة بعمليات التصيد التقليدية، لأنه يمنح المهاجم رمز وصول OAuth صالحاً للاستخدام حتى بعد تغيير كلمة المرور في بعض الحالات.
وتعتمد العملية على ما يشبه هجمات Device Code Phishing، حيث يتم الحصول على رمز وصول رسمي من GitHub ثم إرساله إلى البنية التحتية الخاصة بالمهاجمين.
ويتيح ذلك للمهاجمين تنفيذ عمليات آلية واسعة النطاق تشمل استعراض المستودعات البرمجية المخترقة وإضافة ملفات عمل خبيثة داخل المسار:
.github/workflows/
وهو الأسلوب نفسه الذي اشتهرت به حملة GhostAction منذ ظهورها الأول.
ويرى الباحثون أن الجمع بين سرقة حسابات المطورين وامتلاك صلاحيات مباشرة داخل المستودعات يمنح المهاجمين القدرة على توسيع نطاق الهجوم نحو المشاريع والمؤسسات والمستخدمين المعتمدين على تلك المشاريع بصورة متسلسلة.
ملف خطوط مزيف يخفي سارق بيانات متقدماً
الأخطر في النسخة الجديدة من الهجوم يتمثل في إدخال مكون ثانٍ مصمم للبقاء داخل أجهزة المطورين حتى في حال إزالة الملفات الخبيثة من GitHub.
ولتحقيق ذلك، قام المهاجمون بإضافة ثلاثة ملفات مختلفة إلى المستودعات المخترقة، من بينها ملف VS Code مصمم للتنفيذ التلقائي بمجرد فتح المشروع داخل بيئة التطوير.
كما تم إنشاء ملف يحمل الاسم:
fa-solid-400.woff2
وهو اسم يوحي بأنه ملف خطوط عادي يستخدم داخل واجهات الويب، لكنه في الحقيقة يحتوي على برمجية سرقة بيانات متقدمة.
ويبدو أن المهاجمين استلهموا هذا الأسلوب من حملة PolinRider المنسوبة سابقاً إلى جهات كورية شمالية، والتي اعتمدت على تقنيات مشابهة لإخفاء البرمجيات الخبيثة داخل ملفات تبدو شرعية للمطورين.
استهداف مفاتيح الخدمات السحابية والذكاء الاصطناعي
بعد تشغيل البرمجية الخبيثة، تبدأ في جمع مجموعة واسعة من بيانات الاعتماد الحساسة من الجهاز المصاب.
وتشمل البيانات المستهدفة مفاتيح AWS، ورموز الوصول الخاصة بمنصتي PyPI وnpm، وبيانات تسجيل الدخول إلى GitHub، واعتمادات مجموعات Kubernetes، والمفاتيح الخاصة ببروتوكولات SSH.
كما تستهدف الحملة بصورة مباشرة بيانات الاعتماد الخاصة بخدمات الذكاء الاصطناعي، بما في ذلك مفاتيح Claude التابعة لشركة Anthropic ومفاتيح Gemini التابعة لشركة Google.
ولا يقتصر الأمر على جمع المعلومات فقط، إذ تنشئ البرمجية مهمة مجدولة تعمل كل خمس دقائق لتنزيل أوامر إضافية من خوادم المهاجمين وتنفيذها، ما يوفر آلية استمرارية طويلة الأمد داخل النظام المصاب.
وتُرسل البيانات المسروقة إلى خادم تحكم مركزي عبر بروتوكول HTTP، الأمر الذي يسمح للمهاجمين بمواصلة استغلال الضحايا وإدارة العدوى عن بُعد.
94 مستودعاً مخترقاً وتأثير ممتد على سلسلة التوريد
وفقاً لتحقيقات OpenSourceMalware، جرى العثور على 94 مستودعاً مخترقاً تحتوي على المرحلة الثانية من الهجوم.
وتعود هذه المستودعات إلى 66 مالكاً مختلفاً، فيما اختفى عدد من المشاريع أو جرى تحويلها إلى مستودعات خاصة أو تغيير أسمائها بعد اكتشاف الحملة.
وأظهرت التحليلات أن كثيراً من هذه المستودعات كانت مهجورة أو قليلة النشاط، وهو ما جعلها أهدافاً مناسبة للمهاجمين بسبب انخفاض احتمالية اكتشاف التغييرات الخبيثة بسرعة.
كما لاحظ الباحثون أن GitHub بدأ منذ التاسع من أكتوبر 2026 بمنع تشغيل بعض تدفقات العمل المرتبطة بالحملة، الأمر الذي أدى إلى تراجع قدرة المهاجمين على سرقة الأسرار مباشرة من بيئات التكامل المستمر.
لكن بعد أقل من أسبوع ظهرت المرحلة الثانية من الهجوم، والتي انتقلت من استهداف بيئات GitHub إلى استهداف أجهزة المطورين أنفسهم، وهو مسار لا تستطيع ضوابط GitHub وحدها السيطرة عليه.
ورغم اتساع الحملة، يرى الباحثون أن منفذيها لا يملكون مستوى احترافياً مرتفعاً، إذ كشفت التحقيقات عن أخطاء تشغيلية عديدة، من بينها استخدام عنوان IP واحد تقريباً للبنية التحتية الخاصة بالتصيد وتسريب البيانات وعمليات المسح الشبكي، ما ساعد الباحثين على تتبع النشاط وربط مراحله المختلفة ببعضها البعض.
