في هجوم مستمر على النظام البيئي مفتوح المصدر، قمت بإلقاء أكثر من 15000 حزمة بريد عشوائي في مستودع npm الخاص بي لتوزيع روابط التصيد الاحتيالي.
قال الباحث في Checkmarx Yehuda Gelb في تقرير يوم الثلاثاء إن الحزم تم إنشاؤها باستخدام عملية آلية، مع أوصاف العناصر التي تم إنشاؤها تلقائيًا وأسماءها متشابهة جدًا مع بعضها البعض.
يستخدم المهاجمون معرفات الإحالة لإحالة مواقع البيع بالتجزئة، وبالتالي الاستفادة من مكافآت الإحالة التي يتلقونها.
تضمنت طريقة العمل تسميم السجل بحزم مخادعة تضمنت روابط لحملات التصيد في ملفات README.md الخاصة بهم، مما يشير إلى أن شركة أمن سلسلة إمداد البرمجيات قد كشفت عن حملة مماثلة في ديسمبر 2022.
تتنكر هذه الوحدات المزيفة في صورة غشاش وموارد مجانية، وبعضها يحتوي على حزم تسمى أتباع free-tiktok و free-xbox-code و instagram-follow-free.
الهدف النهائي للعملية هو جذب المستخدمين إلى تنزيل حزم البرامج والنقر على روابط لمواقع التصيد بوعود كاذبة بزيادة المتابعين على منصات التواصل الاجتماعي.
أوضح جيلب أن صفحات الاحتيال مصممة جيدًا، وفي بعض الحالات، تتضمن أيضًا محادثات تفاعلية مزيفة يبدو أنها تُظهر للمستخدمين الذين يقبلون الغش داخل اللعبة أو المتابعين الموعودين.
تحث هذه المواقع الضحايا على ملء استمارات المسح، والتي تمهد الطريق بعد ذلك لتحقيقات إضافية، أو إعادة توجيههم إلى بوابات التجارة الإلكترونية المشروعة مثل AliExpress.
وفقًا للتقارير، على مدار بضع ساعات بين 20 و 21 فبراير 2023، تم تحميل الحزم إلى npm من حسابات مستخدمين متعددة، باستخدام برنامج نصي Python الذي أتم العملية برمتها.
بالإضافة إلى ذلك، تم تصميم نص Python النصي أيضًا لإرفاق روابط بحزم npm المنشورة على مواقع WordPress التي يديرها ممثلو التهديد الذين يدعون أنهم ينفذون عمليات احتيال في Family Island.
يتم تحقيق ذلك باستخدام حزمة selenium Python للتفاعل مع الموقع وإجراء التعديلات اللازمة.
بشكل عام، يسمح استخدام الأتمتة للخصوم بنشر أعداد كبيرة من الحزم في فترة زمنية قصيرة، ناهيك عن إنشاء حسابات مستخدمين متعددة لإخفاء حجم الهجوم.
وقال جيلب إن هذا يدل على حنكة وتصميم هؤلاء المهاجمين، المستعدين لتخصيص موارد كبيرة لتنفيذ الحملة.
تؤكد النتائج مجددًا على تحديات تأمين سلسلة توريد البرمجيات مع استمرار الجهات الفاعلة في التهديد في التكيف مع التقنيات الجديدة وغير المتوقعة.