اكتشاف برمجيات خبيثة خطيرة تقوم بسرقة البيانات من آلاف خوادم لينكس

شنّ برمجية خبيثة جديدة هجمات على خوادم لينكس لأسابيع، ووجّهت ضربة قوية مؤخرًا. فقد تمكّن المخترقون من اختراق حزم برامج Red Hat التي يستخدمها آلاف المطورين حول العالم. حجم الهجوم كبير لدرجة تستدعي تحركًا فوريًا من أي فريق يعمل بهذه الأدوات.

أكدت شركة الأمن السيبراني Aikido أن أكثر من 30 حزمة رسمية من Red Hat Cloud Services، وهي قسم من Red Hat يُقدّم أدوات برمجية للمطورين، قد تم اختراقها ببرمجيات خبيثة مصممة لسرقة بيانات الاعتماد. ووفقًا للتقرير، فقد أصيبت 96 نسخة من 32 حزمة مختلفة، بمتوسط ​​تراكمي للتنزيلات يبلغ حوالي 117,000 تنزيل أسبوعيًا.

وعلى عكس الهجمات الأخرى التي تستخدم حزمًا مزيفة، تمكّن المهاجمون من اختراق حساب GitHub الخاص بأحد موظفي Red Hat، ومن ثمّ حقنوا شيفرة خبيثة في مستودعات شرعية. هذا يعني أن من قاموا بتنزيل هذه الحزم حصلوا على نسخ رسمية، ولكن مع ثغرة أمنية خفية.

أوضح باحثو الأمن أن البرمجية الخبيثة تُفعّل فور تثبيت الحزمة. ويتم تشغيل جزء صغير من التعليمات البرمجية تلقائيًا قبل أي شيء آخر، حيث يقوم بتنزيل وتشغيل حمولة بحجم 4.2 ميجابايت مصممة لتجاوز أنظمة الأمان القياسية.

بمجرد تفعيلها، تبدأ البرمجية الخبيثة بالبحث عن أي بيانات اعتماد تجدها على النظام وجمعها. ستكون بيانات تسجيل دخولك إلى خدمات الحوسبة السحابية مثل AWS وAzure وGoogle Cloud، ورموز GitHub، ومفاتيح SSH الخاصة، وكلمات المرور المخزنة في ملفات التكوين، وغيرها الكثير، عرضة لهجمات المهاجمين.

بمجرد أن يجمع البرنامج الخبيث كل هذه المعلومات، يرسلها إلى مستودعات GitHub العامة التي أنشأها المهاجمون أنفسهم. ولإخفاء حركة البيانات هذه في سجلات الشبكة، تظهر الاتصالات وكأنها موجهة إلى api.anthropic.com، وهو نطاق شرعي تابع لشركة Anthropic يُستخدم لتجنب إثارة الشكوك.

علاوة على ذلك، يقوم هذا البرنامج الخبيث بتثبيت خدمات دائمة على نظام التشغيل، تبقى فعّالة حتى بعد انتهاء مهمته. كما يقوم بحقن التعليمات البرمجية في أدوات التطوير الشائعة مثل Visual Studio Code وGitHub Copilot وحتى Claude، ولكن هناك ما هو أخطر من ذلك.

إذا حاول أحدهم إلغاء بيانات اعتماد GitHub الخاصة به قبل إزالة البرنامج الخبيث من النظام، فقد يؤدي ذلك إلى حذف مجلد المستخدم الرئيسي. لهذا السبب، ينصح باحثو الأمن بحذف الملفات المصابة بالكامل قبل تغيير كلمات المرور أو إلغاء رموز الوصول. بعد ذلك، يُنصح بإعادة إنشاء جميع بيانات الاعتماد المكشوفة والتحقق مما إذا تم إنشاء مستودعات غير مصرح بها للحسابات المتأثرة.

وفقًا لموقع CyberSecurityNews، تمت إزالة معظم الإصدارات الخبيثة بالفعل من مستودع Red Hat Cloud Services الرسمي. يحذر بعض الخبراء من أن هذه الحادثة تُظهر مدى هشاشة سلسلة توريد البرمجيات عند اختراق نقطة دخول واحدة. تمتلك Red Hat قاعدة عملاء تضم آلاف المؤسسات حول العالم، بما في ذلك Apple وMicrosoft وAmazon وIBM وSalesforce.

wwww.igli5.com