كراودسترايك وجوجل يُفككان شبكة روبوتات خبيثة استهدفت مطوري البرمجيات مفتوحة المصدر

أعلنت شركتا كراودسترايك وجوجل، بالتعاون مع مؤسسة Shadowserver، عن نجاحهما في تفكيك شبكة الروبوتات الخبيثة المعروفة بـGlassworm، وهي عملية تجسس وتخريب إلكتروني استمرت قرابة عامين واستهدفت مطوري البرمجيات مفتوحة المصدر في ما وُصف بأنه واحدة من أخطر هجمات سلسلة التوريد الموثقة مؤخراً. نُفّذت العملية في السادس والعشرين من مايو 2026 إذ ضربت الفرق المشتركة قنوات القيادة والتحكم الأربعة لشبكة Glassworm في آنٍ واحد.

جاء الكشف عن حجم الاختراق مثيراً للقلق: تمكن المهاجمون من اختراق أكثر من 300 مستودع برمجيات على منصة GitHub، عبر توظيف البرمجيات الخبيثة في حزم تبدو مشروعة ينزّلها المطورون يومياً. اعتمد المهاجمون على ثلاثة أساليب رئيسية: نشر إضافات VSCode خبيثة في أسواق أدوات المطورين كـOpenVSX تتظاهر بأنها أدوات شائعة كمتتبعات الوقت ومنسّقات الكود، وشنّ حملات الإعلان الخبيث التي تُغري المستخدمين بتنزيل برمجيات مُلوَّثة، إضافةً إلى استغلال بيانات تسجيل دخول مسروقة من اختراقات سابقة للاستيلاء على حسابات مطورين ذوي مصداقية.

اللافت في البنية التقنية لهذه الشبكة هو تعدد قنوات القيادة والتحكم التي اعتمدها المهاجمون. فبدلاً من الاعتماد على خوادم مركزية يسهل رصدها وحجبها، بنى المهاجمون بنيتهم التحتية على شبكة سلسلة الكتل Solana وبروتوكول BitTorrent اللامركزي وتقويم جوجل وخوادم استضافة تجارية، مما جعل تتبع الاتصالات أصعب بكثير. وقد نجحت عملية التفكيك في إسقاط الأربعة قنوات دفعةً واحدة.

ويُجلّي تقرير كراودسترايك خطورة هذا النوع من الهجمات بقوله: اختراق جهاز عمل مطوّر واحد قد يتصاعد ليصبح اختراقاً لسلسلة التوريد بأسرها يُصيب آلاف المؤسسات والمستخدمين. وهذا ما يُميّز هجمات سلسلة التوريد عن الهجمات التقليدية: بدلاً من مهاجمة كل مؤسسة على حدة، يكفي اختراق مكوّن واحد مشترك ينتشر تلقائياً عبر شبكة ثقة مؤسسية متشعبة.

كشف التحقيق أن الجهات المشغّلة لـGlassworm يُرجَّح أنها مقيمة في روسيا، وأنها طوّرت الشبكة باستمرار على مدار أكثر من عام، منتقلةً من JavaScript إلى Rust ثم Zig، وموسّعةً نطاقها عبر بيئات npm وPyPI وGitHub.

ولا تقف قضية Glassworm منفردة؛ فقد أشارت التقارير إلى ارتفاع ملحوظ في هجمات مماثلة، من بينها حملة Mini Shai-Hulud واختراق أداة التطوير Axios. وتعكس هذه السلسلة من الحوادث توجهاً مقلقاً يستهدف فيه المهاجمون منظومة الثقة المتأصلة في أدوات التطوير مفتوحة المصدر التي تُشكّل العمود الفقري للبرمجيات الحديثة.

تُشير المعطيات المتوفرة إلى أن العمليات التخريبية التي نفذتها Glassworm ربما أصابت مؤسسات وأفراداً لا يعلمون بعد بتعرضهم لها، مما يجعل مراجعة المستودعات والحزم البرمجية المُستخدمة أمراً ذا أولوية عاجلة لفرق أمن المعلومات في الوقت الراهن.