رصد باحثو الأمن السيبراني من شركتي Socket وStepSecurity مجموعة جديدة من الحزم المخترقة على منصة npm، حيث استُخدمت لنشر دودة سلسلة توريد ذاتية الانتشار أُطلق عليها اسم CanisterSprawl.
الهجوم يعتمد على سرقة رموز المطورين الخاصة بـ npm، ثم استخدام هذه الرموز لنشر نسخ مسمومة من الحزم نفسها، ما يوسع نطاق العدوى بشكل تلقائي.
البيانات المسروقة تُرسل إلى خادم HTTPS خبيث (telemetry.api-monitor[.]com) وإلى حاوية ICP (cjn37-uyaaa-aaaac-qgnva-cai.raw.icp0[.]io) في محاولة لجعل البنية التحتية أكثر مقاومة لعمليات الإزالة.
الحزم المتأثرة وآلية التنفيذ
من بين الحزم المصابة:
- @automagik/genie (الإصدارات 4.260421.33 – 4.260421.40)
- @fairwords/loopback-connector-es (1.4.3 – 1.4.4)
- @fairwords/websocket (1.0.38 – 1.0.39)
- @openwebconcept/design-tokens (1.0.1 – 1.0.3)
- @openwebconcept/theme-owc (1.0.1 – 1.0.3)
- pgserve (1.1.11 – 1.1.14)
البرمجية الخبيثة تُفعَّل أثناء التثبيت عبر postinstall hook، حيث تقوم بسرقة بيانات الاعتماد والأسرار من بيئة المطور، ثم تستخدم الرموز المسروقة لنشر نسخ جديدة من الحزم مع شيفرة خبيثة إضافية.
البيانات المستهدفة
الهجوم يستهدف مجموعة واسعة من الملفات والبيانات الحساسة، منها:
- ملفات إعداد npm (.npmrc)
- مفاتيح SSH وملفات التهيئة الخاصة بها
- بيانات اعتماد Git وNetrc
- بيانات اعتماد السحابة (AWS، Google Cloud، Azure)
- إعدادات Kubernetes وDocker
- ملفات كلمات مرور قواعد البيانات
- ملفات البيئة المحلية (.env*)
- سجلات الأوامر في الطرفية (Shell history)
كما يحاول الوصول إلى بيانات من متصفحات Chromium وإضافات محافظ العملات الرقمية.
انتشار الهجوم إلى PyPI وهجمات موازية
أشارت شركة Socket إلى أن الدودة تحتوي أيضاً على منطق للانتشار عبر PyPI، حيث تُنشئ حمولة تعتمد على ملفات .pth في بايثون لتُنفذ عند تشغيل المفسر، ثم تُحمّل حزم بايثون خبيثة باستخدام Twine إذا توفرت بيانات الاعتماد.
في سياق متصل، كشفت شركة JFrog عن اختراق حزم بايثون شرعية مثل xinference (الإصدارات 2.6.0 – 2.6.2)، حيث أُضيفت حمولة مشفرة بـ Base64 مسؤولة عن جمع بيانات الاعتماد من الأجهزة المصابة. اللافت أن الحمولة تضمنت تعليقاً يحمل عبارة “# hacked by teampcp“، رغم أن مجموعة TeamPCP نفت مسؤوليتها وادعت أن جهة مقلدة وراء الهجوم.
هجمات أوسع على npm وPyPI
الهجوم الأخير يُضاف إلى سلسلة طويلة من استهدافات النظام البيئي مفتوح المصدر، منها:
- حزم npm وPyPI مزيفة تتظاهر بأنها أدوات Kubernetes، لكنها تُثبت برمجيات خبيثة لإنشاء بروكسيات SOCKS5 وخوادم SFTP وبوابات LLM.
- حملة مستمرة على npm انتحلت هوية شركة Asurion ونشرت حزم خبيثة بين 1 و8 أبريل 2026 لسرقة بيانات الاعتماد عبر مراحل متعددة.
- حملة مدعومة بالذكاء الاصطناعي باسم prt-scan استغلت ثغرة pull_request_target في GitHub Actions منذ مارس 2026 لسرقة أسرار المطورين عبر حقن حمولة خبيثة في سير العمل.
دلالات أمنية
هذه الهجمات تؤكد أن سلسلة التوريد البرمجية أصبحت هدفاً رئيسياً، وأن المهاجمين يستغلون الثقة المتبادلة بين المطورين والمستودعات المفتوحة المصدر لنشر برمجيات خبيثة على نطاق واسع. كما تُظهر أن أدوات الذكاء الاصطناعي باتت جزءاً من الحملات الهجومية، سواء في الاستغلال أو في إدارة البنية التحتية الخبيثة.
