تحذير لمستخدمي Claude Code! تم اختراق وتسميم حزمة TanStack NPM، حيث يتم تنزيلها حتى 12.7 مليون مرة أسبوعيًا

الطقم المعروف تان ستاك يتعرض للاختراق والتسميم من قبل هاكرز TeamPCP، مما يؤثر على العديد من أدوات تطوير الذكاء الاصطناعي والمحافظ المشفرة. البرمجيات الخبيثة لا تسرق فقط الشهادات السرية، بل وعند اكتشافها تقوم برد فعل انتقامي بحذف بيانات المستخدمين، مما يبرز تزايد تهديدات هجمات سلسلة التوريد.

تم اختراق حزمة تان ستاك على NPM، وتأثر مستخدمو Claude والمشفرون

هاجمة واسعة على سلسلة التوريد على NPM مرة أخرى! حزمة تان ستاك على NPM التي يتم تحميلها على الأقل 12.7 مليون مرة أسبوعيًا، تعرضت للاختراق والتسميم من قبل مجموعة هاكرز. الهجوم استهدف بشكل خاص النظام البيئي الشهير للذكاء الاصطناعي مؤخرًا، وتأثرت حزم ذات صلة مثل Mistral AI و OpenSearch و Guardrails AI وغيرها.

تستخدم مجموعة الهاكرز بشكل رئيسي تحميل الشيفرات الخبيثة على أدوات مساعدة لكتابة الكود في الذكاء الاصطناعي التي يستخدمها المطورون بشكل شائع، مثل Claude Code وبيئة محرر VS Code من مايكروسوفت، بهدف سرقة الشهادات السرية للمستخدمين، والتي تتضمن أيضًا رموز وصول GitHub الهامة جدًا للمطورين.

إذا قمت بتنزيل نسخة ملوثة من TanStack على NPM في 11 مايو 2026، يرجى بسرعة اتباعالإرشادات الرسمية، وتغيير جميع الحسابات والكلمات السرية والشهادات السحابية التي قد تكون تعرضت للخطر.

مجموعة الهاكرز TeamPCP تملأ التسميم خلال ست دقائق

وفقًا لتقرير تحليل StepSecurity، فإن هذا الهجوم نفذته مجموعة الهاكرز النشطة TeamPCP. وقد قامت هذه المجموعة في مارس من هذا العام، بشن هجوم على حزمة الذكاء الاصطناعي مفتوحة المصدر LiteLLM، مما أدى إلى تسريب مئات الجيجابايت من البيانات السرية وأكثر من 500 ألف شهادة.

• **تقرير ذات صلة:**ملخص حادثة تسميم LiteLLM: كيف تتحقق من صحة محافظ التشفير والمفاتيح السحابية؟

الآن، وجهت مجموعة TeamPCP هدفها إلى TanStack، وبعد الهجوم أصدرت أيضًا على GitHub فيروس الدودة الخبيثة Mini Shai-Hulud المفتوح المصدر. هذا الفيروس يمتلك قدرة على الانتشار الذاتي، وعند دخوله النظام، يبحث تلقائيًا عن ويسرق كلمات المرور والمفاتيح المختلفة.

وقعت حادثة TanStack في 11 مايو، حيث خلال ست دقائق فقط، أصدر الهاكرز 84 إصدارًا من 42 حزمة مرتبطة بـ TanStack تحتوي على برمجيات خبيثة، واستخدموا ثلاث ثغرات نظام وردود فعل متسلسلة لتحقيق هدفهم.

مصدر الصورة: StepSecurityتنظيم StepSecurity للحزم المتأثرة في حادثة TanStack

ملخص جدول زمني لحادثة تسميم TanStack

قرأتُ تقرير التحليل وملخصتُ بشكل بسيط عملية حادثة TanStack كما يلي:

• أولاً، قام الهاكرز بإنشاء فرع في مستودع كود TanStack، ووضعوا فيه برمجية خبيثة بشكل سري.
• ثانيًا، استغلوا ثغرة في آلية التخزين المؤقت لعملية الاختبار الآلي للنظام. عندما يقوم النظام الرسمي باختبار الكود المقدم من الهاكرز، يتم حفظ البيانات المؤقتة التي تحتوي على الملف الخبيث. وعندما يقوم النظام لاحقًا بنشر البرمجيات بشكل طبيعي، يقرأ البيانات المصابة عن غير قصد.
• أخيرًا، تقوم الشيفرة الخبيثة التي تم تفعيلها بقراءة ذاكرة النظام مباشرة، وتحديدًا البيانات ذات الصلاحيات العالية المستخدمة في إصدار البرمجيات. بعد الحصول على الشهادة، يستطيع الهاكرز تجاوز عمليات الفحص الأمني العادية، ونشر حزم تحتوي على الدودة الخبيثة إلى سجل NPM العام. والأدهى أن هذه البرمجيات الخبيثة تحمل شعار الاعتماد الأمني الرسمي الأعلى، مما يصعب على المطورين العاديين تمييز خطورتها من المظهر الخارجي.

عندما يقوم المطورون غير المدركين بتنزيل وتثبيت الحزم المصابة، تبدأ الدودة Mini Shai-Hulud في العمل في الخلفية بصمت. بالإضافة إلى مفاتيح الخدمات السحابية، ستقوم الفيروسات أيضًا بقراءة أكثر من 100 مسار ملف افتراضي، وتشمل إعدادات أدوات الذكاء الاصطناعي الشائعة، وإعدادات الشبكات الخاصة الافتراضية، وملفات المحافظ المشفرة للعملات الرقمية مثل البيتكوين والإيثيريوم.

بعد الحادثة، اكتشف باحثو الأمن السيبراني في StepSecurity، بقيادة Ashish Kurmi، الشذوذ خلال 20 دقيقة وأبلغوا عنه. وعقب تلقي فريق TanStack الإشعار، بدأوا على الفور إجراءات الطوارئ، وألغوا صلاحيات الدفع على GitHub لمنع توسع الأزمة، وتواصلوا مع فريق NPM لإزالة النسخ الخبيثة الـ 84 بالقوة.

تصاعد التهديدات، وصعوبة الدفاع تتزايد

توجه حادثة TanStack تحذيرًا لمجتمع المطورين ومستخدمي العملات المشفرة، ومع تزايد أدوات كتابة الكود بالذكاء الاصطناعي، قد يقع المبتدئون غير الملمين بالأمن السيبراني في فخاخ الاختراق.

قال تشارلز جيومليت، المدير التقني لمحفظة Ledger الشهيرة، إن أكثر ما يميز هجوم سلسلة التوريد على NPM الموجه نحو نظام الذكاء الاصطناعي هو أن السكربتات الخبيثة تراقب باستمرار ما إذا كانت الشهادات المسروقة على GitHub قد تم إلغاؤها من قبل المستخدمين.

إذا اكتشف النظام أن المستخدمين لاحظوا شيئًا غير طبيعي وحاولوا إلغاء الشهادات، فإن البرمجيات الخبيثة ستبدأ فورًا برد فعل انتقامي، وتقوم بمحو بيانات المستخدمين من الدليل الرئيسي على أجهزتهم.

مثل هذا التصميم العقابي يعيق بشكل كبير جهود فرق الأمن السيبراني والمتضررين في استعادة النظام وتصحيحه بعد الهجمات، كما يمنح الهاكرز مزيدًا من الوقت لتعميق الضرر والسيطرة على النظام، وكون الهاكرز يفتحون مصدر الدودة Mini Shai-Hulud، فهذا دليل على أن تكلفة هجمات سلسلة التوريد على NPM منخفضة جدًا بالنسبة لهم.

قال بجدية: «نحن ندخل عصرًا جديدًا، حيث تتزايد قوة تقنيات الهاكرز بشكل مذهل، ويزداد صعوبة الدفاع عن أنفسنا يومًا بعد يوم.»