كشف باحثون في الأمن السيبراني عن ملحق خبيث لبيئة Visual Studio Code يحتوي على قدرات فِدية (Ransomware) مبدئية، ويبدو أنه صُمم بمساعدة الذكاء الاصطناعي، فيما يُعرف اصطلاحًا بـ “vibe-coded” – أي برمجيات تحمل أسلوب كتابة آلي ناتج عن أدوات الذكاء الاصطناعي.
ملحق “susvsex” الخبيث في متجر VS Code
أوضح الباحث جون تَكنَر (John Tuckner) من شركة Secure Annex أن الامتداد المسمى “susvsex” لا يُخفي نواياه الخبيثة، إذ نُشر في 5 نوفمبر 2025 على يد مستخدم يُدعى “suspublisher18” مرفقًا بوصف صريح مفاده أنه “يُضغط، ويرفع، ويشفّر الملفات من مجلد testing” في أنظمة Windows وmacOS عند أول تشغيل.
وفي 6 نوفمبر، أزالت مايكروسوفت الامتداد من متجر VS Code الرسمي بعد تأكيد الطابع الخبيث له.
يعمل الملحق على تنشيط نفسه تلقائيًا عند التثبيت أو التشغيل، مُنفذًا وظيفة تُسمى zipUploadAndEncrypt، والتي تُنشئ أرشيفًا مضغوطًا من المجلد المستهدف، وترسله إلى خادم بعيد، ثم تستبدل الملفات الأصلية بنسخ مشفرة. وأشار تَكنَر إلى أن الإعداد الافتراضي يوجّه الملحق إلى مجلد تجريبي محدود التأثير، إلا أن هذا المسار قابل للتعديل بسهولة في تحديث لاحق أو عبر أوامر تصدر من خادم القيادة والتحكم (C2).
قناة تحكم عبر GitHub
استخدم الامتداد مستودعًا خاصًا على GitHub كقناة قيادة وتحكم، حيث يقوم بجلب أوامر جديدة من ملف “index.html” ثم يرفع نتائج التنفيذ إلى ملف “requirements.txt” في المستودع ذاته باستخدام رمز وصول (Access Token) مضمّن في الشيفرة.
ويرتبط هذا المستودع بحساب يحمل الاسم “aykhanmv”، يعود إلى مطوّر يزعم أنه من مدينة باكو في أذربيجان.
وأوضح الباحث أن التعليقات الزائدة، وملفات README التي تتضمن تعليمات تشغيل، والمتغيرات النائبة (Placeholder Variables) تمثل دلائل واضحة على البرمجة الآلية بالذكاء الاصطناعي. كما احتوى حِزم الامتداد بالخطأ على أدوات فك التشفير وشيفرة خادم C2 ومفاتيح الوصول إلى GitHub، ما مكّن أي طرف آخر من السيطرة على الخادم.
حزم npm ملوثة ببرمجية Vidar Stealer
بالتوازي مع ذلك، كشفت Datadog Security Labs عن 17 حزمة npm خبيثة تتخفى في صورة مكتبات تطوير (SDKs)، لكنها تُسقط برمجية Vidar Stealer لسرقة المعلومات. وتُعد هذه المرة الأولى التي يُرصد فيها توزيع Vidar عبر سجل npm.
وتُعرف هذه الحملة باسم MUT-4831، وقد نُشرت أولى الحزم في 21 أكتوبر 2025 بواسطة حسابين هما “aartje” و*“saliii229911”* قبل حظرهما لاحقًا. بلغ عدد مرات التحميل أكثر من 2240 تنزيلًا، رغم أن جزءًا منها نُسب إلى أدوات سحب تلقائية.
تُفعَّل السلسلة الهجومية عبر برنامج postinstall داخل ملف package.json، الذي ينزّل أرشيفًا من نطاق “bullethost[.]cloud” ويشغّل ملف Vidar التنفيذي المضمَّن داخله.
وقد وُجد أن عينات Vidar 2.0 تستخدم حسابات Telegram وSteam مضمّنة كـ”مخازن إسقاط بديلة” لجلب خوادم القيادة الفعلية. وفي بعض الإصدارات، استُخدم سكربت PowerShell مضمَّن لتنزيل الملف، ثم تسليم التنفيذ إلى سكربت JavaScript لإكمال الهجوم.
تهديد متصاعد في سلاسل التوريد البرمجية
تشير Datadog إلى أن تنويع أساليب التنفيذ بين الحزم قد يكون محاولة لزيادة مقاومة الكشف. وتُعد هذه الحوادث إضافة جديدة إلى سلسلة طويلة من هجمات سلاسل التوريد (Supply Chain Attacks) التي تستهدف منظومات المصادر المفتوحة مثل npm وPyPI وRubyGems وOpen VSX.
ويُوصي الخبراء المطورين بمراجعة السجلات وتحديثات الحزم والتحقق من أسماء المكتبات بدقة لتجنّب الانتحال (Typosquatting) والتضارب في الاعتماديات (Dependency Confusion) قبل تثبيت أي حزمة جديدة.
