دومین حمله سایبری به بسته‌های مایکروسافت در چند هفته اخیر

جزئیات حمله و شناسایی بدافزار

به گفته چندین محقق، در مجموع ۷۳ بسته به عنوان مخرب علامت‌گذاری شدند و توسط سیستم‌های خودکار گیت‌هاب مسدود گشتند. با این حال، گیت‌هاب به جای اعلام مخرب بودن بسته‌ها، آن‌ها را به دلیل «نقض شرایط خدمات گیت‌هاب» غیرفعال کرد و از صاحب بسته خواست تا با گیت‌هاب تماس بگیرد. مایکروسافت تا روز دوشنبه به این موضوع واکنش نشان نداد و تنها اعلام کرد: «ما به طور موقت برخی از مخازن را برای بررسی محتوای مخرب احتمالی حذف کرده‌ایم.»

شیوه عملکرد بدافزار Miasma

بسته‌های آلوده یک بارگذاری ۲۸ کیلوبایتی را اجرا می‌کردند که اعتبارنامه‌های AWS، Azure، GCP، Kubernetes، مدیران رمز عبور و بیش از ۹۰ پیکربندی ابزار توسعه‌دهنده را سرقت می‌کرد. سپس این بدافزار به صورت افقی در زیرساخت‌های ابری گسترش می‌یافت تا سایر ماشین‌های توسعه‌دهنده را آلوده کند. این حمله که به یک عامل تهدید به نام TeamPCP مرتبط است، بسته durabletask را پس از به خطر انداختن اعتبارنامه‌های مایکروسافت برای انتشار بسته آلوده کرد. این تکنیک به مهاجمان اجازه می‌دهد تا خط لوله ساخت مخزن را به طور کامل دور بزنند.

بدافزار مورد استفاده در این حمله Miasma نام دارد که اساساً یک کپی از ابزار Mini Shai-Hulud متعلق به TeamPCP است. شرکت امنیتی Cloudsmith اعلام کرد که این بدافزار اعتبارنامه‌های توکن OIDC (OpenID-Connect) را که در تأیید اصالت SLSA (Supply-chain Levels for Software Artifacts) استفاده می‌شوند، جمع‌آوری می‌کند.

«نابغه بودن کرم Miasma در نحوه پایبندی آن به گردش‌های کاری قانونی نهفته است. این بدافزار از هیچ آسیب‌پذیری نرم‌افزاری در گیت‌هاب یا npm سوءاستفاده نمی‌کند. در عوض، از مدل اعتماد اساسی اکوسیستم مهندسی مدرن سوءاستفاده می‌کند.»

پیامدهای حمله و توصیه‌ها

عملکرد سرقت اعتبار در کرم Miasma به محض باز شدن بسته‌ها در عوامل هوش مصنوعی از جمله Claude Code، Gemini CLI، Cursor و VS Code فعال می‌شد. حملات بعدی در صورت برداشت موفقیت‌آمیز اعتبارنامه‌ها از ماشین‌هایی که بسته‌ها را در یکی از عوامل هوش مصنوعی تحت تأثیر باز کرده‌اند، بسیار محتمل است.

حساب گیت‌هاب مایکروسافت که در حمله ماه مه به خطر افتاده بود، همان حسابی است که اواخر هفته گذشته نیز مورد استفاده قرار گرفت. دلیل این دوگانگی هنوز مشخص نیست. این ممکن است به این معنی باشد که مایکروسافت در تغییر کامل اعتبارنامه‌های حساب کوتاهی کرده است یا نتیجه یک بسته ناشناخته است که روی ماشین توسعه‌دهنده مایکروسافت اجرا شده و اعتبارنامه‌های جدید را سرقت کرده است. مایکروسافت در حال حاضر جزئیاتی ارائه نمی‌دهد.

تأیید رمزنگاری خودتکثیر شونده بسته‌های مخرب و توانایی دور زدن شناسایی مبتنی بر هش، تشخیص حملات را دشوار می‌کند. همانطور که به خطر افتادن بعدی همان حساب مایکروسافت نشان می‌دهد، رفع کامل این نقض‌ها می‌تواند دشوار باشد. هر کسی که با هر یک از ۷۳ بسته درگیر بوده است، باید فوراً بررسی کامل انجام دهد تا از عدم وجود اعتبارنامه‌های به خطر افتاده که در حملات آینده استفاده خواهند شد، اطمینان حاصل کند.