كشف باحثون في الأمن السيبراني عن تفاصيل حملة اختراق طويلة الأمد استهدفت سلسلة توريد البرمجيات عبر منصة npm الشهيرة، مستخدمة حزمًا برمجية خبيثة لنشر برمجيات سرقة المعلومات وأحصنة طروادة الخاصة بالوصول عن بُعد، في واحدة من أحدث الأمثلة على المخاطر المتزايدة التي تهدد منظومات تطوير البرمجيات مفتوحة المصدر.
وأطلق خبراء شركتي CloudSEK وCheckmarx اسم MALFEX على الحملة، التي يُعتقد أنها نُفذت بواسطة جهة تهديد واحدة نشطة منذ أغسطس 2023. ووفقًا للتحقيقات، نشر المهاجم ما لا يقل عن 12 حزمة برمجية عبر مستودع npm، تم تصنيف ثماني منها على أنها خبيثة بشكل مؤكد.
وتبرز هذه الحادثة استمرار تصاعد هجمات سلسلة التوريد الرقمية، وهي هجمات تستهدف المطورين والمؤسسات عبر استغلال الثقة في المكتبات البرمجية المعتمدة داخل المشاريع المختلفة، ما يسمح للمهاجمين بالوصول إلى آلاف الأنظمة من خلال مكون برمجي واحد يبدو مشروعًا في الظاهر.
أكثر من 40 ألف عملية تنزيل للحزم الخبيثة
بحسب نتائج التحليل، تجاوز إجمالي عدد مرات تنزيل الحزم الخبيثة 40,767 مرة، وهو رقم يكشف حجم الانتشار الذي حققته الحملة خلال فترة نشاطها.
وكانت الحزمة المسماة function-flag الأكثر نجاحًا، حيث استحوذت وحدها على 37,419 عملية تنزيل، ما يجعلها المصدر الرئيسي لنشر البرمجيات الضارة المرتبطة بالحملة.
وشملت قائمة الحزم الخبيثة التي جرى تحديدها:
tlxbnhd
tldriver
mxdriver
img-to-native
native-runner
function-flag
function-color
cdn-img-fetch
وما يزيد من خطورة الأمر أن ثلاثًا من هذه الحزم ما زالت متاحة على المنصة وقت اكتشاف الحملة، وهو ما يعني احتمال استمرار تعرض بعض المستخدمين للخطر إذا لم يتم التدقيق في الاعتمادات البرمجية المستخدمة داخل مشاريعهم.
كما لفت الباحثون إلى وجود رسالة ترحيبية داخل إحدى الحزم مكتوبة باللغة البرتغالية، تشير إلى أن المشروع تم تطويره بواسطة فريق MALFEX تحت إدارة شخص يستخدم اسم “Murizada”، وهو ما وفر مؤشرات أولية بشأن الخلفية اللغوية للمطور المسؤول عن النشاط.
ثلاث مسارات مختلفة لنشر البرمجيات الخبيثة
تعتمد حملة MALFEX على ثلاثة مسارات رئيسية لإصابة أجهزة ويندوز.
المسار الأول يستخدم أدوات تحميل خاصة ببرمجية Overlord RAT، وهي أداة مفتوحة المصدر مكتوبة بلغة Go وتُستخدم للتحكم في الأجهزة المصابة عن بُعد.
وتتميز Overlord بأسلوب غير مألوف في الحصول على عنوان خادم القيادة والتحكم، إذ تعتمد على معاملات شبكة Solana لاستخراج معلومات الاتصال المطلوبة، وهو ما يمنحها مستوى إضافيًا من المرونة وصعوبة التتبع.
أما المسار الثاني فيركز على تثبيت برنامج سرقة معلومات يعرف باسم movinlike، والمطور باستخدام Node.js. ويستهدف هذا البرنامج بيانات حساسة من تطبيق Discord والمتصفحات المختلفة وتطبيق Telegram ومحافظ العملات الرقمية.
في حين يتمثل المسار الثالث في استخدام مُنزلات برمجية تعمل على جلب حمولات خبيثة إضافية من الإنترنت وتنفيذها على الأجهزة المستهدفة.
وقد رصد الباحثون أن بعض الحزم تستخدم ما يعرف بخطافات ما بعد التثبيت Postinstall Hooks، وهي آلية شرعية داخل npm يمكن استغلالها لتنفيذ أوامر تلقائية بعد تثبيت الحزمة. وفي هذه الحالة، استُخدمت لتحميل برامج ضارة وتشغيلها دون علم المستخدم.
Overlord RAT يعود في حملات متعددة
يشير التقرير إلى أن برمجية Overlord RAT لم تقتصر على حملة MALFEX فقط، بل ظهرت خلال عام 2026 في أكثر من حملة سيبرانية أخرى.
فقد ارتبطت البرمجية سابقًا باستغلال ثغرات أمنية في مواقع WordPress، كما استُخدمت في حملة استهدفت أجهزة macOS عبر مُثبت مزيف لبرنامج Zoom.
وأظهرت التحقيقات تداخلًا في بعض التكتيكات بين حملة مُثبت Zoom المزيف ومجموعة تهديد يشتبه في ارتباطها بكوريا الشمالية تعرف باسم UNK_DeadDrop، الأمر الذي يعكس الانتشار المتزايد لهذه البرمجية بين جهات تهديد مختلفة.
ورغم ذلك، لم يجد الباحثون أدلة مباشرة تربط حملة MALFEX بهذه المجموعات، إذ تشير المؤشرات الحالية إلى أن النشاط يعود على الأرجح إلى جهة مستقلة تعمل بشكل منفرد.
مؤشرات لغوية تقود إلى مطور ناطق بالبرتغالية
اعتمد الباحثون في عملية الإسناد على مجموعة من الأدلة الفنية واللغوية التي توحي بأن منفذ الحملة يتحدث اللغة البرتغالية.
وتشمل هذه المؤشرات أوصافًا مكتوبة بالبرتغالية داخل بعض المستودعات البرمجية، إضافة إلى أسماء مستخدمين ومعرفات إلكترونية وأنماط توقيت مرتبطة غالبًا بالبيئة البرازيلية.
لكن CloudSEK شددت على أن هذه المؤشرات لا تعني أن البرازيل كانت الهدف الرئيسي للهجمات، بل إنها تعكس فقط الخلفية المحتملة للمهاجم.
ويرجح الباحثون أن الاستهداف كان انتهازيًا بطبيعته، نظرًا إلى أن قنوات النشر اعتمدت على npm ومنصات عالمية مثل Discord، ما يجعل الضحايا المحتملين موزعين على نطاق دولي واسع.
وتسلط الحملة الضوء مجددًا على المخاطر المتنامية المرتبطة بسلسلة توريد البرمجيات مفتوحة المصدر، خصوصًا مع ازدياد اعتماد المطورين على مكتبات خارجية ومدير حزم npm في بناء التطبيقات الحديثة. كما تؤكد أهمية فحص الحزم البرمجية والتحقق من سلوكها أثناء التثبيت، وعدم الاعتماد على عدد التنزيلات أو شعبية المشروع وحدها كمؤشر على الموثوقية والأمان.
