هجوم جديد: برمجيات مايكروسوفت الرسمية تخفي برمجيات خبيثة لسرقة البيانات

للمرة الثانية خلال أسابيع، تم اكتشاف عشرات الحزم البرمجية مفتوحة المصدر الموثقة رسميًا من مايكروسوفت وهي تحمل شفرات خبيثة مصممة لسرقة بيانات الاعتماد، وتم تفعيلها عند استخدام المطورين لهذه الحزم عبر أدوات الترميز بالذكاء الاصطناعي.

أفاد باحثون متعددون بأنه تم رصد 73 حزمة كمحتوى خبيث بعد أن قامت أنظمة "جيت هاب" الآلية بحظرها. بدلاً من الإشارة صراحة إلى كونها ضارة، وأن المطورين الذين استخدموها عبر أدوات الذكاء الاصطناعي يجب أن يفترضوا اختراق أنظمتهم، اكتفت "جيت هاب" المملوكة لمايكروسوفت بتعطيل الحزم "لانتهاك شروط الخدمة". وشجعت مالكي الحزم على التواصل مع "جيت هاب".

لم تعترف مايكروسوفت باحتمالية إصابة الحزم إلا يوم الاثنين، حيث ذكرت في بريد إلكتروني: "لقد قمنا بإزالة بعض المستودعات مؤقتًا أثناء التحقيق في محتوى خبيث محتمل".

يُعد هذا الحادث ثاني هجوم على سلسلة التوريد في شهرين يستهدف حساب مستودع رسمي لمايكروسوفت. ففي منتصف مايو، وثقت شركة "ستيب سيكيورتي" اختراق حزمة "durabletask" الخاصة بمايكروسوفت على منصة PyPI. هذه الحزمة، التي يتم تنزيلها 400 ألف مرة شهريًا، هي إطار عمل لبناء سير عمل قوي لتنظيم المعاملات الموزعة.

الحزم المخترقة كانت تقوم بتنفيذ حمولة بحجم 28 كيلوبايت تسرق بيانات الاعتماد من خدمات مثل AWS، Azure، GCP، Kubernetes، مديري كلمات المرور، وأكثر من 90 تكوينًا لأدوات المطورين. ثم تنتشر هذه البرمجيات الخبيثة بشكل جانبي عبر البنى التحتية السحابية لإصابة أجهزة مطورين أخرى.

الهجوم، الذي تم ربطه بجهة تهديد تُعرف باسم "TeamPCP"، قام بتسميم حزمة "durabletask" بعد اختراق بيانات اعتماد مايكروسوفت الخاصة بنشر الحزمة. تسمح هذه التقنية للمهاجمين بتجاوز خط أنابيب بناء المستودع بالكامل. البرمجية الخبيثة المستخدمة، والتي تُعرف باسم "Miasma"، هي في الأساس نسخة طبق الأصل من مجموعة أدوات "TeamPCP" المسماة "Mini Shai-Hulud" والتي طرحها المهاجم مفتوحة المصدر مؤخرًا.

قالت شركة "كلاود سميث" للأمن السيبراني إن البرمجية الخبيثة تجمع بيانات اعتماد رموز OIDC (OpenID-Connect) المستخدمة في إثبات SLSA (مستويات سلسلة التوريد لمصنوعات البرامج)، وهي طريقة لتوفير ضمانات موقعة تشفيريًا لسلامة البرامج. وكما حدث في اختراق حزمة "durabletask" في مايو، استغل الهجوم الأخير وظيفة سرقة رمز OIDC شرعي من مايكروسوفت. كما تم استخدامه في هجوم منفصل على سلسلة التوريد قام بتسميم عشرات الحزم من Red Hat.