برنامج NPM خطير! احمِ نفسك من البرامج الضارة التي تتنكر في صورة واتساب وتسرق بياناتك

👋 يا خبراء التقنية، حان الوقت لإعادة النظر في المخاطر التي تشكلها تبعيات حزم NPM. في هذه المقالة، سنلقي نظرة تقنية معمقة على كيفية قيام البرامج الضارة المتخفية في هيئة واجهة برمجة تطبيقات واتساب بسرقة البيانات مع استمرار عملها بشكل سليم.

كمطور برامج، هل تساءلت يومًا عما قد يحدث إذا أهملت التحقق من صحة حزم NPM التي تثبتها يوميًا؟ هذا الخبر مثال واقعي على هذا التهديد المحتمل. دعونا نتعمق في التفاصيل التقنية لحالة كان فيها الكود البرمجي السليم في الواقع حصان طروادة.

تعمل واجهة برمجة تطبيقات واتساب كما هو موعود وتسرق كل شيء

الخلفية والقضايا

يُعد NPM (مدير حزم Node) أداة أساسية لمطوري Node.js، ولكن نظرًا لسهولة استخدام المصادر المفتوحة، فإن هذا النظام البيئي معرض دائمًا لخطر تضمين حزم ضارة.

في هذه الحالة، كانت المشكلة عبارة عن حزمة تسمى "lotusbail" تحاكي واجهة برمجة تطبيقات الويب الخاصة بـ WhatsApp، مما يجعلها خيارًا طبيعيًا للمطورين الذين يتطلعون إلى تنفيذ وظائف متعلقة بـ WhatsApp.

يتمثل أحد التحديات التي نواجهها كمهندسين في التحقق من صحة التبعيات. فمجرد كون الكود يعمل لا يعني بالضرورة أنه آمن. إذ يمكن للمهاجمين التهرب من الكشف عنهم من خلال توفير وظائف شرعية أثناء تثبيت أبواب خلفية.

تتمثل إحدى المشكلات الأخرى في إمكانية استخدام مقاييس تنزيل NPM بسهولة كمؤشر على الموثوقية. على سبيل المثال، تم تنزيل هذه الحزمة 56,000 مرة، مما قد يدفع المطور الذي يطلع عليها لأول مرة إلى الاعتقاد خطأً بأن "الشعبية تعني الأمان".

في ظل هذه الظروف، يجب على المهندسين أن يكونوا على دراية دائمة بخطر الهجمات على سلسلة التوريد. ولا تكفي أدوات الأمان التقليدية وحدها؛ بل يلزم فحص مستوى الشفرة البرمجية.

شرح فني ومحتوى

سنشرح هنا بالتفصيل الآليات التقنية لحزمة "lotusbail" التي تسبب المشاكل. تعمل هذه الحزمة كغلاف لواجهة برمجة تطبيقات WhatsApp Web API وتوفر بنجاح وظائف مثل إرسال واستقبال الرسائل وإدارة جهات الاتصال.

ومع ذلك، احتوى البرنامج الخبيث على شفرة خبيثة سرقت رسائل المستخدمين وجهات اتصالهم ورموز جلسات تسجيل الدخول، مما منح المهاجمين وصولاً مستمراً إلى حسابات الضحايا.

على وجه التحديد، عند تثبيت حزمة NPM، يتم ربط برنامج نصي مضاف كاعتمادية بعملية مسح رمز الاستجابة السريعة في WhatsApp، وبالتالي إرسال معلومات المصادقة إلى خادم خارجي.

انقر للتكبير.

فيما يلي جدول يقارن الحزمة الخبيثة بمكتبة واجهة برمجة تطبيقات واتساب التقليدية والشرعية، مما يوضح كيف يمزج المهاجمون بين إساءة الاستخدام والشرعية.

كما يتضح من الجدول، قام برنامج lotusbail بتقليد سلوك واجهة برمجة التطبيقات (API) المشروعة مع إضافة ثغرات مصادقة وتسريب بيانات. وقد استغل بنية Node.js القائمة على الأحداث، واستخدم أتمتة المتصفح القائمة على Puppeteer للتلاعب بخدمة WhatsApp Web.

من الناحية الفنية، تم تنفيذ آلية السرقة عن طريق اعتراض اتصالات WebSocket، حيث تم إرسال رمز الجلسة كنص عادي بدون تشفير وإعادة توجيهه إلى خادم C2 الخاص بالمهاجم.

كما أن الحزمة كانت ذات إصدارات سيئة وبقيت في مستودع NPM لعدة أشهر، مما يدل على محدودية نظام المراجعة الآلي لـ NPM.

للمقارنة، قد يفكر المرء في انتحال الأسماء على PyPI كهجوم مماثل، ولكن في حالة NPM، فإن العدد الكبير من التنزيلات يساعد على انتشاره بشكل أكبر.

حالات التأثير والاستخدام

سيُلاحظ تأثير هذا الحادث في جميع أنحاء مجتمع التقنية. أولًا، يُهدد أمن التطبيقات التي يُطورها المطورون. على سبيل المثال، إذا استخدمت شركة ناشئة تُطور روبوت واتساب هذه الحزمة، فقد يتم تسريب الرسائل الخاصة من العملاء.

من وجهة نظر باحث الأمن، يمكن استخدام هذه الحالة كأداة تعليمية لإجراء ورش عمل حول اكتشاف البرامج الضارة المماثلة باستخدام أدوات تحليل التعليمات البرمجية (مثل Semgrep أو Snyk).

على مستوى المؤسسة، ينبغي أن يحفز هذا فرق DevOps الداخلية على تعزيز خطوط أنابيب فحص تبعيات NPM الخاصة بهم - في الواقع، قامت إحدى شركات التكنولوجيا المالية بمتابعة هذا الخبر من خلال فرض التحليل الثابت لجميع الحزم.

إن التأثير التقني لهذا الهجوم كبير حيث أن الوصول المستمر إلى الحساب قد يؤدي إلى أضرار ثانوية، حيث يمكن للمهاجمين استخدام الرموز المسروقة لشن هجمات التصيد الاحتيالي ضد جهات اتصال الضحايا.

كما أن له تأثيراً كبيراً على مجتمع المصادر المفتوحة، حيث يغير معايير اختيار الحزم الموثوقة، ويضع أهمية أكبر على التحقق من المساهمين بدلاً من مجرد عدد النجوم على GitHub.

دليل العمل

بصفتك مهندسًا، إليك الخطوة التالية العملية: أولًا، افحص حزم NPM في مشروعك. شغّل الأمر: npm audit للتحقق من وجود ثغرات أمنية.

بعد ذلك، استخدم ملف قفل التبعية (package-lock.json) لتنفيذ تثبيت الإصدار، وتحقق من الكود المصدري للحزم غير المعروفة مباشرة على GitHub.

لقد قمنا بتطبيق أدوات مثل Snyk و Dependabot في نظام التكامل المستمر/التسليم المستمر (CI/CD) الخاص بنا لإعداد عمليات فحص أمنية آلية، وعندما يتم اكتشاف أي خلل، نقوم بمشاركته مع المجتمع باستخدام وظيفة الإبلاغ في NPM.

بالإضافة إلى ذلك، أثناء مراجعة الكود، تحقق من وجود اتصالات خارجية. على سبيل المثال، استخدم الأمر grep -r “http” node_modules/ للبحث عن طلبات مشبوهة.

وأخيراً، شارك هذا الحادث مع فريقك، وقم بإجراء تدريب أمني، واتخذ إجراءات عملية لتقليل المخاطر.

الآفاق والمخاطر المستقبلية

وبالنظر إلى المستقبل، سيتم تشغيل نظام NPM البيئي من خلال الكشف الآلي عن البرامج الضارة المدعوم بالذكاء الاصطناعي، حيث ستقوم نماذج التعلم الآلي بتحليل أنماط التعليمات البرمجية وحظر النوايا الخبيثة بشكل استباقي.

بالإضافة إلى ذلك، قد تنتشر أنظمة توقيع الحزم القائمة على تقنية البلوك تشين على نطاق واسع وتعمل على توحيد عملية التحقق من هوية المطورين، مما يقلل من خطر هجمات سلسلة التوريد.

لكن المخاطر لا تزال قائمة: سيصبح المهاجمون أكثر تطوراً، وستصبح البرامج الضارة أكثر كفاءة من الناحية الوظيفية، وستستمر الاختراقات الداخلية للبيانات ما لم نتبنى نموذج انعدام الثقة.

بالإضافة إلى ذلك، قد تؤدي انفتاحية NPM إلى زيادة عمليات انتحال أسماء النطاقات واستغلال التبعيات. لذا، يحتاج المهندسون إلى مراقبة هذه الاتجاهات والتكيف معها.

وبكل إنصاف، فإن هذه المخاطر هي ثمن الابتكار. ويُعدّ التوازن بين الرؤية والمخاطرة أمراً أساسياً.

ま と め

تقدم هذه المقالة تحليلاً تقنياً لحزمة NPM التي تتنكر في صورة واجهة برمجة تطبيقات WhatsApp، مع تسليط الضوء على المخاطر التي يشكلها سلوكها الوظيفي من خلال جداول المقارنة والتعمق في كيفية عملها.

بصفتنا مهندسين، فإن هذا الحادث يذكرنا بأهمية إدارة التبعيات وإعادة التفكير في عمليات التطوير لدينا لإعطاء الأولوية للأمن.

بشكل عام، ستظل هجمات سلسلة التوريد تشكل تهديدًا، ولكن مع اتخاذ التدابير الصحيحة، يمكن منعها: استخدم معرفتك وقم ببناء رمز آمن.

👨‍💻 المؤلف: SnowJon (ممارس/مستثمر في مجال الويب 3 والذكاء الاصطناعي)

استنادًا إلى المعرفة التي اكتسبتها من دورة ابتكار تقنية البلوك تشين في جامعة طوكيو،
يقوم بإجراء البحوث ونشر المعلومات حول تقنية WEB3 والذكاء الاصطناعي من منظور عملي.
نولي أهمية كبيرة لترجمة التقنيات المعقدة إلى شكل يمكن فهمه.

*يتم استخدام الذكاء الاصطناعي كأداة مساعدة، ويتحمل المؤلف مسؤولية التحقق من المحتوى والمسؤولية النهائية.

روابط مرجعية ومصادر معلومات

• عملت واجهة برمجة تطبيقات واتساب كما هو موعود تمامًا، وسرقت كل شيء – إنفو وورلد
• حزمة واجهة برمجة تطبيقات واتساب مزيفة على npm تسرق الرسائل وجهات الاتصال ورموز تسجيل الدخول – ذا هاكر نيوز
• حزمة NPM التي بلغ عدد تنزيلاتها 56,000 ألفًا تسرق بيانات اعتماد واتساب وبيانات أخرى – SecurityWeek
• كشف موقع Hackread عن حزمة NPM الشهيرة lotusbail كبرنامج حصان طروادة يسرق محادثات واتساب.
• تم رصد حزمة NPM خبيثة لمكتبة واجهة برمجة تطبيقات واتساب (WhatsApp API) وهي تسرق الرسائل - سايبر إنسايدر