الرئيس التنفيذي
أشرف الحادي

رئيس التحرير
فاطمة مهران

تقرير حديث من كاسبرسكي يكشف تصاعدًا بنسبة %48 في الحزم الخبيثة التي تشكل خطرًا على سلاسل التوريد

 

استعرض خبراء فريق البحث والتحليل العالمي من كاسبرسكي، هجمات سلاسل الإمداد، ورصدوا 14,000 حزمة خبيثة في مشاريع المصادر المفتوحة بنهاية 2024، مسجلة ارتفاعاً بنسبة 48% عن نهاية 2023. وراجعت كاسبرسكي 42 مليون إصدار من حزم المصادر المفتوحة طوال 2024 للبحث عن الثغرات الأمنية.

البرمجيات مفتوحة المصدر هي برامج ذات كود مصدري قابل للفحص والتعديل والتطوير من قبل أي شخص. وتتضمن الحزم الشائعة أسماء مثل GoMod و Maven و NuGet و npm و PyPI وغيرها. تدعم هذه الأدوات الكثير من التطبيقات وتمكّن المطورين من اكتشاف وتثبيت وإدارة مكتبات الأكواد الجاهزة بسهولة، مما يبسط تطوير البرمجيات عبر إعادة توظيف أكواد مكتوبة مسبقاً. ويستغل المهاجمون انتشار هذه الحزم وغيرها.
في مارس 2025، تم توثيق نشر مجموعة Lazarus لعدة حزم npm خبيثة، تم تحميلها عدة مرات قبل إزالتها. تضمنت هذه الحزم برمجيات خبيثة لاختلاس بيانات الاعتماد وبيانات محافظ العملات المشفرة وزرع أبواب خلفية، مستهدفة أنظمة المطورين عبر ويندوز وماك ولينكس. وظف الهجوم مستودعات GitHub لإعطاء الشرعية ، مما يعكس تطور تكتيكات سلاسل الإمداد لدى المجموعة. واكتشف فريق البحث والتحليل العالمي من كاسبرسكي حزم npm إضافية مرتبطة بهذا الهجوم. كان بالإمكان دمج حزم npm الخبيثة في تطوير الويب ومنصات العملات المشفرة وبرمجيات المؤسسات، مما يخاطر بسرقة البيانات على نطاق واسع وتكبّد خسائر مالية.

وفي عام 2024، رُصد باب خلفي معقد في XZ Utils الإصدارين 5.6.0 و 5.6.1، وهي مكتبة ضغط منتشرة بكثرة في توزيعات لينكس. زُرع الكود الخبيث بواسطة مطور موثوق، واستهدف خوادم SSH، ليتيح تنفيذ الأوامر عن بُعد ويشكل تهديداً لأنظمة لا حصر لها عالمياً. تم اكتشاف الثغرة قبل الاستغلال الموسع بعد ملاحظة شذوذ في الأداء، وسلطت الواقعة الضوء على خطورة هجمات سلاسل الإمداد. وتُعد XZ Utils عنصراً أساسياً في أنظمة التشغيل والخوادم السحابية وأجهزة إنترنت الأشياء، مما يجعل اختراقها تهديداً للبنى التحتية الحساسة وشبكات الشركات.

وفي نفس العام، رصد فريق البحث والتحليل العالمي التابع لكاسبرسكي قيام مهاجمين برفع حزم Python خبيثة كـ chatgpt-python وchatgpt-wrapper على منصة PyPI، تقلّد أدوات مشروعة للتفاعل مع واجهات برمجة تطبيقات ChatGPT. صُممت هذه الحزم لسرقة بيانات الاعتماد وزرع أبواب خلفية، مستثمرة انتشار تطوير الذكاء الاصطناعي لإيقاع المطورين في فخ تحميلها. كان بالإمكان توظيف هذه الحزم في تطوير الذكاء الاصطناعي ودمج روبوتات المحادثة ومنصات تحليل البيانات، مما يهدد سير العمل الحساس للذكاء الاصطناعي وبيانات المستخدمين.

يوضح ديمتري غالوف، رئيس مركز الأبحاث لروسيا ورابطة الدول المستقلة بفريق البحث والتحليل العالمي في كاسبرسكي: «تمثل البرمجيات مفتوحة المصدر الأساس لكثير من الحلول المعاصرة، غير أن انفتاحها بات يُستغل كسلاح. الارتفاع بمعدل 50% في الحزم الخبيثة مع نهاية 2024 يكشف عن إصرار المهاجمين في دمج أبواب خلفية متقدمة وأدوات سرقة بيانات في الحزم المنتشرة، التي يعول عليها الملايين. دون تدقيق صارم ومراقبة مستمرة، قد تُنتج حزمة مخترقة واحدة لاختراق عالمي. على المؤسسات تحصين سلاسل الإمداد قبل نجاح هجوم آخر بحجم XZ Utils».

للحماية من هذه المخاطر، تقدم كاسبرسكي النصائح التالية:
● استخدم حل مراقبة المكونات مفتوحة المصدر المستخدمة بهدف رصد التهديدات المحتملة المخفية بداخلها.

● في حال الاشتباه بتمكّن مصدر تهديد من الوصول للبنية التحتية لشركتك، نوصي بتوظيف حل كاسبرسكي لتقييم الاختراق “Kaspersky Compromise Assessment” لاكتشاف أي هجمات سابقة أو قائمة.

● تأكد من مشرفي الحزم: دقق في موثوقية المطور أو الجهة المسؤولة عن الحزمة. ابحث عن سجل إصدارات متسق وتوثيق شامل ونظام تتبع مشاكل فعال.

● ابق على اطلاع بالتهديدات الناشئة: سجل في النشرات الأمنية والإرشادات المتعلقة بمنظومة المصادر المفتوحة. الاكتشاف المبكر للتهديد يتيح استجابة أسرع وأكثر فعالية.

أخبار ذات صلة

نداء المبارك رئيسة تنفيذية لـ SRMG للحلول الإعلامية (SMS)

دوبيزل يوقع بروتوكول تعاون مع بنك مصر لدعم خدمات التمويل العقاري

ببجي موبايل تكشف عن محتوى جديد مذهل ضمن تعاونها المستمر مع سلسلة المتحولون في تحديث الإصدار 3.9

بالو ألتو نتوركس تستكمل الاستحواذ على منصة بروتكت إيه آي

فاوندإيفر تحصد لقب “أفضل مكان للعمل” في مصر لعام 2025 للعام الثاني على التوالي

ست أدوات أتمتة لتعزيز ذكاء الشركات في الشرق الأوسط

“ضامن” للمدفوعات الإلكترونية تعلن عن شراكة استراتيجية مع “كارجاس” لتسهيل خدمات الدفع وتحفيز استخدام الغاز الطبيعي

واتساب يختبر ميزة لاستيراد صور الملف الشخصي من فيسبوك و إنستجرام

آخر الأخبار
الصندوق السعودي للاستثمارات العامة يحافظ على صدارة العلامات التجارية لصناديق الثروة السيادية الأسرع ... وزير السياحة يشارك في فعالية الاحتفال بافتتاح ملتقى لوجوس الخامس لشباب الكنيسة القبطية الأرثوذكسية مدن القابضة" تسجل صافي أرباح بقيمة 2.1 مليار درهم في النصف الأول من عام 2025 وزير الخارجية والهجرة يلتقي بنظيره البرازيلي صندوق أبوظبي للتنمية يشارك في وضع حجر الأساس لمشروع استثماري سياحي متكامل في سلطنة عمان طرح برومو مسلسل "ما تراه، ليس كما يبدو".. سبع حكايات مشوقة ومفاجآت غير متوقعة جائزة زايد للاستدامة تشهد ارتفاعاً ملحوظاً في مستويات المشاركة عالمياً وتسجل 7,761 طلب مشاركة في دور... وزير العدل يصدر قرارين بتعيين مقار ٣٨ محكمة عمالية متخصصة نداء المبارك رئيسة تنفيذية لـ SRMG للحلول الإعلامية (SMS) اعتماد 11 منشأة صحية جديدة وتجديد اعتماد عدد من المنشآت بعد استيفائها لمعايير جودة هيئة الاعتماد وال... dubizzle Signs Partnership Agreement with Banque Misr to Support Mortgage Financing Services ميناء "نيوم" يعلن نجاح تجربة تشغيلية لممر تجاري إقليمي جديد يربط بين مراكز تجارية في السعودية و مصر شيري عادل تستعد لتصوير "ديجافو" ضمن حكايات مسلسل "ما تراه، ليس كما يبدو" رئيس الوزراء يُتابع مع وزير التربية والتعليم عددًا من ملفات العمل انطلاق المنتدى السعودي للإعلام فبراير المقبل بمشاركة أكثر من 250 شركة محلية وعالمية دوبيزل يوقع بروتوكول تعاون مع بنك مصر لدعم خدمات التمويل العقاري ببجي موبايل تكشف عن محتوى جديد مذهل ضمن تعاونها المستمر مع سلسلة المتحولون في تحديث الإصدار 3.9 نقابة الصحفيين تطلق استطلاعًا شاملًا عن الأمراض المزمنة والخطرة جلسة مباحثات بين وزير البترول والثروة المعدنية ورئيس "إنرجين" لبحث تعزيز التعاون في مجالات الغاز وال... هيئة السياحة في هونغ كونغ تعيّن شركة آفياربس ممثلًا جديدًا للتسويق والعلاقات العامة في منطقة الخليج