ديدان Shai-Hulud: شهادة منشأ شرعية لتسميم مليارات التحميلات
ديدان Shai-Hulud استغلت اعتماد npm على بيانات اعتماد المطورين لاختراق 868 حزمة بأكثر من 2 مليار عملية تثبيت شهريًا، مما يبرز فشل التحقق في سلسلة التوريد.
مقدمة تحليلية
في 5 أغسطس 2026، استولت هجمة Shai-Hulud على حساب GitHub الخاص بمطور مكتبة keyv، وهي مكتبة تخزين قيم-مفاتيح صغيرة يخدمها npm حوالي 127 مليون مرة أسبوعياً. في غضون ساعات، ظهرت نسخ مسمومة من keyv وحزم التخزين المؤقت الشقيقة على npm، حاملة دودة لسرقة بيانات الاعتماد. بحلول منتصف النهار، أحصت شركة الأمن Aikido ما لا يقل عن 868 حزمة مخترقة عبر 1,381 إصداراً، تحمل معاً أكثر من ملياري عملية تثبيت شهرياً، ولا يزال العدد في ارتفاع. تتبع JFrog الحملة بشكل مستقل عبر أكثر من 400 حزمة و 1,700 إصدار مسموم.
لم يكن عدد التنزيلات هو المثير للقلق، بل الوثائق. فقد شُحنت الإصدارات المسمومة الأولية بتوقيعات منشأ صالحة، وهي الشهادة التشفيرية التي بنتها الصناعة لإثبات أن الحزمة جاءت من مصدرها المدعى. لم تُزوّر الدودة هذا التوقيع، بل اكتسبته بطريقة مشروعة، كما تفعل الإصدارات السليمة.
التحليل التقني
لم تكن آلية الهجوم معقدة، بل استندت إلى استغلال الثقة الممنوحة. وفقاً لتحليل Aikido، دفع المهاجم الملفات الخبيثة مباشرة إلى الفرع الرئيسي لكل مستودع تحكم فيه المطور، ثم أطلق إصداراً جديداً على الفور. ولأن الإصدار مر عبر سير عمل GitHub Actions الخاص بالمهندس، فقد أنتج npm شهادة منشأ مشروعة له. لأي جهة تدقق في سلامة سلسلة التوريد، بدا الإصدار المسموم أصيلاً. أكدت Wiz مسار الإصدار بشكل مستقل. في أحد المسارات التي وثقتها JFrog، توغلت الدودة أبعد من ذلك: داخل تشغيل GitHub Actions مرتبط بـ opensearch-js، طلبت رمز OIDC، استبدلته برمز نشر، وأنشأت حزمة Sigstore عبر Fulcio و Rekor، بحيث حملت حزمة tarball الخبيثة شهادة منشأ مولدة من سياق سير العمل الموثوق به نفسه.
ما حول اختراق حساب واحد إلى حدث على مستوى السجل هو سرعة الانتشار. بمجرد أن وصلت الحزمة المسمومة إلى بيئة مطور أو عامل بناء، جمع حمولتها كل بيانات الاعتماد التي يمكنها الوصول إليها، ثم استخدمت أي رموز نشر npm عثرت عليها لاختراق حزم أخرى يسيطر عليها الضحية. كل مطور مخترق أصبح عقدة توزيع غير واعية، حيث رصدت Aikido عشرات الحزم المصابة حديثاً تظهر كل بضع دقائق. قامت البرمجية الخبيثة بتهريب الأسرار المسروقة إلى مستودعات GitHub عامة تحمل علامة “Shai-Hulud: Here We Go Again”، وهو التوقيع الذي أطلق اسم الحملة. تجاوز هذا الانتشار الأدوات المساعدة الغامضة؛ فبسبب كون keyv يعتمد عليه عدد كبير من الأدوات الشائعة كاعتماد متعدي، تغلغلت الدودة عبر هذه السلاسل إلى حزم تحت نطاقات npm للشركات، مع تأكيد إصابات مرتبطة بـ Deliveroo و Qlik و Picsart. لم يقم المطورون في هذه الشركات بتثبيت keyv عمداً؛ بل كانوا يعتمدون على شيء يعتمد عليه، على طبقات في شجرة لا يراجعها أحد يدوياً.
كشفت مستخرجات بيانات الاعتماد داخل الحمولة ما كان المهاجمون يسعون إليه بالفعل. وجدت JFrog و Wiz أن البرمجيات الخبيثة كانت تجمع مفاتيح الوصول إلى السحابة، وأسرار CI، والرموز التي تصادق على البنية التحتية للإنتاج. كان اختراق الحزمة هو الوسيلة، وكانت السحابة وراءها هي الوجهة دائماً. ارتفعت الأنشطة الإجرامية التي تستهدف السحابة بنسبة 171% في النصف الأول من عام 2026 وفقاً لـ CrowdStrike، ويعد اختراق سلسلة التوريد أحد المسارات التي تغذيها.
استهداف أدوات المطورين
لم يقتصر الأمر على السرقة، فقد زرعت الدودة نفسها حيث يعمل المطورون. وجدت Wiz أن البرمجيات الخبيثة تضع حمولات استمرارية في دليلين على الأجهزة التي تصل إليها، أحدهما لـ Visual Studio Code والآخر باسم.claude، وهو دليل العمل لوكيل Anthropic Claude Code. تعني ملفات الإعداد الموضوعة هناك أن الحمولة يمكن أن تعمل عندما يفتح المطور المشروع المصاب في محرره أو يبدأ جلسة ترميز بالذكاء الاصطناعي، ليس فقط وقت التثبيت. هذا هو النظام البيئي للمطورين الذي سمته CrowdStrike في تقريرها “2026 Threat Hunting Report” ضمن قسم “Software Supply Chain Attacks Evolve”، واستهدف بدقة، المحرر والمساعد الذكاء الاصطناعي الذي يثق به المطور أكثر ويفحصه أقل.
السياق وتأثير السوق
نشرت CrowdStrike تقريرها “2026 Threat Hunting Report” قبل يوم واحد من الهجوم، وتنبأت بهذا الشكل من الهجمات. حدد التقرير النظام البيئي للمطورين نفسه، وسجلات الحزم، وخطوط أنابيب التكامل المستمر (CI)، وسجلات الحاويات، والإضافات التي يحملها المطورون في محررات الأكواد الخاصة بهم، كأسطح يستهدفها الخصوم الآن مباشرة. وضع التقرير حزم npm في صميم هذا التحول، حيث ارتبطت بـ 87% من تهديدات سجلات البرمجيات الخبيثة التي تتبعتها CrowdStrike في النصف الأول من العام. حولت دودة keyv هذا الاكتشاف إلى حادث حي في غضون 24 ساعة. بالنسبة لمديري أمن المعلومات (CISOs) ومهندسي الأمن، تُقرأ الأحداث كرسالة واحدة: يمكن للمهاجم إرضاء إشارات الثقة المدمجة في سلسلة توريد البرامج إذا امتلك الحساب الصحيح، وانهارت النافذة بين الكشف والاستغلال إلى ما هو أسرع من الإصلاحات الشهرية.
عرض آدم مايرز، الذي يقود عمليات مكافحة الخصوم في CrowdStrike، حلاً بسيطاً مجانياً:
كن أول من يعرف بمستقبل التقنية
أهم الأخبار والتحليلات التقنية مباشرة في بريدك.
