تحذير لمستخدمي Claude Code! تم اختراق وتسميم حزمة TanStack NPM، مع تحميل يصل إلى 12.7 مليون مرة أسبوعيًا

الطقم المعروف تان ستاك يتعرض للاختراق والتسميم من قبل هاكرز TeamPCP، مما يؤثر على العديد من أدوات تطوير الذكاء الاصطناعي والمحافظ المشفرة. البرمجيات الخبيثة لا تسرق فقط الشهادات السرية، بل وعند اكتشافها تقوم بحذف بيانات المستخدمين انتقامياً، مما يبرز تزايد تهديدات هجمات سلسلة التوريد.

تم اختراق حزمة تان ستاك على NPM، وتأثر مستخدمو Claude والمشفرون

هاجمة واسعة على سلسلة التوريد على NPM مرة أخرى! حزمة تان ستاك على NPM التي يتم تحميلها على الأقل 12.7 مليون مرة أسبوعياً، تعرضت للاختراق والتسميم من قبل مجموعة هاكرز. الهجوم استهدف بشكل خاص بيئة الذكاء الاصطناعي الرائجة مؤخراً، وتأثرت بها حزم ذات صلة مثل Mistral AI و OpenSearch و Guardrails AI وغيرها.

تستخدم مجموعة الهاكرز بشكل رئيسي تحميل الشيفرات الخبيثة على أدوات مساعدة لكتابة الكود في الذكاء الاصطناعي التي يستخدمها المطورون بشكل شائع، مثل Claude Code وبيئة محرر VS Code من مايكروسوفت، بهدف سرقة الشهادات السرية للمستخدمين، والتي تتضمن أيضاً رموز وصول GitHub الهامة للمطورين.

إذا قمت بتنزيل نسخة ملوثة من TanStack NPM في 11 مايو 2026، يرجى بسرعة اتباعالإرشادات الرسمية، وتغيير جميع الحسابات والكلمات السرية والشهادات السحابية التي قد تكون تعرضت للخطر.

مجموعة الهاكرز TeamPCP تملأ التسميم خلال ست دقائق

وفقاً لتقرير تحليل StepSecurity، فإن هذا الهجوم نفذته مجموعة الهاكرز النشطة TeamPCP. وقد قامت هذه المجموعة في مارس من هذا العام، بشن هجوم على حزمة الذكاء الاصطناعي المفتوحة المصدر LiteLLM، مما أدى إلى تسريب مئات الجيجابايت من البيانات السرية وأكثر من 500 ألف شهادة.

• **تقرير ذات صلة:**ملخص هجوم التسميم على LiteLLM: كيف تتحقق من صحة المحافظ المشفرة والمفاتيح السحابية؟

الآن، وجهت مجموعة TeamPCP هدفها إلى TanStack، وبعد الهجوم أصدرت على GitHub فيروس الدودة الخبيثة Mini Shai-Hulud المفتوح المصدر. هذا الفيروس يمتلك قدرة الانتشار الذاتي، وعند دخوله النظام، يبحث تلقائياً عن ويسرق كلمات المرور والمفاتيح المختلفة.

وقع حادث TanStack في 11 مايو، حيث خلال ست دقائق فقط، أصدر الهاكرز 84 إصداراً من 42 حزمة مرتبطة بـ TanStack تحتوي على برمجيات خبيثة، مستخدمين ثلاث ثغرات في النظام وردود الفعل المتسلسلة لتحقيق هدفهم.

مصدر الصورة: StepSecurityتنظيم StepSecurity للحزم المتأثرة في هجوم TanStack

ملخص جدول زمني لهجوم التسميم على TanStack

قرأتُ تقرير التحليل وألخص عملية وقوع هجوم TanStack كالتالي:

• أولاً، قام الهاكرز بإنشاء فرع في مستودع كود TanStack، ووضعوا فيه برمجية خبيثة بشكل سري.
• ثانياً، استغلوا ثغرة في آلية التخزين المؤقت لعملية الاختبار الآلي للنظام. عندما يقوم النظام الرسمي باختبار الكود المقدم من الهاكرز، يتم حفظ البيانات المؤقتة التي تحتوي على الملف الخبيث. وعند قيام النظام لاحقاً بعملية إصدار البرنامج بشكل طبيعي، يقرأ النظام عن غير قصد هذه البيانات المصابة.
• أخيراً، تقوم الشيفرات الخبيثة التي تم تفعيلها بقراءة ذاكرة النظام بشكل مباشر، وتحديداً تلتقط الشهادات الأمنية ذات الصلاحيات العالية المستخدمة في إصدار البرمجيات. بعد الحصول على الشهادات، يستطيع الهاكرز تجاوز عمليات الفحص الأمني العادية، ونشر حزم تحتوي على الدودة الخبيثة إلى سجل NPM العام. حتى أن هذه البرمجيات الخبيثة تحمل شعار الاعتماد الأمني الرسمي الأعلى، مما يصعب على المطورين العاديين تمييز خطورتها من المظهر الخارجي.

عندما يقوم المطورون غير المدركين بتنزيل وتثبيت الحزم المصابة، تبدأ دودة Mini Shai-Hulud بالعمل في الخلفية بصمت. بالإضافة إلى مفاتيح الخدمات السحابية، ستقوم الدودة بقراءة أكثر من 100 مسار ملف افتراضي، وتشمل إعدادات أدوات الذكاء الاصطناعي الشائعة، وإعدادات الشبكات الخاصة الافتراضية، وملفات المحافظ المشفرة للعملات الرقمية مثل البيتكوين والإيثيريوم.

بعد الحادث، اكتشف باحثو الأمن السيبراني في StepSecurity، بقيادة Ashish Kurmi، الشذوذ خلال 20 دقيقة وأبلغوا عنه. وعقب تلقي فريق TanStack الإشعار، بدأوا على الفور إجراءات الطوارئ، وأوقفوا صلاحيات الدفع على GitHub لمنع توسع الأزمة، وتواصلوا مع فريق NPM لإزالة النسخ الخبيثة الـ 84 بالقوة.

تصاعد التهديدات، وصعوبة الدفاع تتزايد

ينقل حادث TanStack رسالة تحذيرية لمجتمع المطورين ومستخدمي العملات المشفرة، ومع تزايد أدوات كتابة الكود بالذكاء الاصطناعي، قد يقع المبتدئون غير الملمين بأمان المعلومات في فخاخ الاختراق.

قال تشارلز جيومليت، المدير التقني لمحفظة Ledger الشهيرة، إن أكثر ما يميز هجوم سلسلة التوريد على NPM ضد بيئة الذكاء الاصطناعي هو أن السكربتات الخبيثة تراقب باستمرار ما إذا كانت الشهادات المسروقة على GitHub قد تم إلغاؤها من قبل المستخدمين.

إذا اكتشف النظام أن المستخدمين لاحظوا شيئاً غير طبيعي وحاولوا إلغاء الشهادات، فإن البرمجيات الخبيثة ستبدأ فوراً برد فعل انتقامي، وتقوم بمسح بيانات المستخدمين في الدليل الرئيسي على أجهزتهم.

مثل هذا التصميم العقابي يعيق بشكل كبير جهود فرق الأمن السيبراني والمتضررين في عمليات التعافي والإصلاح بعد الهجمات، كما يمنح الهاكرز مزيداً من الوقت لتعميق الضرر والسيطرة على النظام، وكون الهاكرز يفتحون مصدر دودة Mini Shai-Hulud، فهذا يدل على أن تكلفة هجمات سلسلة التوريد على NPM منخفضة جداً بالنسبة لهم.

قال بجدية: «نحن ندخل حقبة جديدة، حيث تصبح تقنيات الهاكرز قوية بشكل متزايد، ويزداد صعوبة الدفاع عنها يوماً بعد يوم.»