← العودة إلى المدونة
الإحاطة الأمنية4 min read2026-04-28
الإحاطة الأمنية، 28 أبريل 2026: رسائل تصيّد Robinhood، وسارق معلومات PyPI، وإضافات GlassWorm النائمة
درس هذا الصباح بسيط وقاسٍ: مسارات onboarding الموثوقة، ومديرو الحزم الموثوقون، وأسواق الإضافات الموثوقة أصبحت نفسها قنوات توصيل للهجوم.
الخلاصة السريعة: هناك ثلاث قصص تهم الآن: محتوى يسيطر عليه المهاجم داخل رسائل Robinhood الحقيقية، وإصدار مفتوح المصدر مزور يسرق الأسرار، وإضافات VS Code صُممت لتستيقظ لاحقاً.
1. تم تحويل تدفق التسجيل في Robinhood إلى قناة تصيّد
استغل المهاجمون عملية إنشاء الحساب في Robinhood لحقن HTML داخل رسائل تنبيه تسجيل دخول حقيقية صادرة من noreply@robinhood.com. الرسائل اجتازت SPF وDKIM، وبدت شرعية، ودَفعت الضحايا إلى موقع تصيّد. الخلاصة قاسية: الثقة في المرسل وحدها لا تكفي إذا لم يتم تنظيف المحتوى.
- راجع كل رسائل المنتج التي تعرض حقولاً يتحكم بها المستخدم أو بيانات تعريف الجهاز.
- علّم المستخدمين أن عنوان المرسل الشرعي لا يجعل الروابط المضمنة آمنة تلقائياً.
- تعامل مع قوالب التسجيل والاستعادة والإشعارات على أنها مسارات كود حرجة أمنياً.
2. حزمة elementary-data على PyPI حولت مسار الإصدار العادي إلى سرقة بيانات اعتماد
تم اختراق الحزمة الشهيرة elementary-data عبر حقن سكربت في GitHub Actions. هذا كشف رمز workflow وأتاح للمهاجم تزوير إصدار موقّع. النسخة 0.23.3 وزّعت سارق معلومات يستهدف مفاتيح SSH وبيانات اعتماد السحابة وأسرار CI وملفات المحافظ وبيانات بيئة المطور، وامتد الأثر نفسه إلى صور الحاويات.
- ابحث فوراً عن elementary-data==0.23.3 وصور الحاويات المرتبطة بها.
- قم بتدوير أسرار المطورين والسحابة وCI وKubernetes إذا تم تشغيل الحزمة أو الصورة في أي مكان.
- شدّد مسارات الإصدار بحيث لا تصل التعليقات أو forks أو المدخلات غير الموثوقة إلى تنفيذ shell.
3. إضافات GlassWorm النائمة الـ73 على OpenVSX تُظهر هجمات سلسلة توريد أكثر هدوءاً
عثرت Socket على 73 إضافة OpenVSX مرتبطة بـ GlassWorm، وتم تفعيل 6 منها بالفعل. الحيلة الجديدة هي الصبر: انشر شيئاً يبدو بريئاً، واترك الثقة تتراكم، ثم سلّم الحمولة في تحديث لاحق. إنه نفس استغلال النظام البيئي، لكنه أكثر هدوءاً وأكثر خبثاً.
- دقّق في محطات عمل المطورين بحثاً عن إضافات OpenVSX المشبوهة، وليس فقط حزم npm وPyPI.
- استخدم التحقق من الناشر وallowlists لإضافات المحررات داخل البيئات الهندسية.
- افترض أن الإضافة المستنسخة قد تكون مجرد loader، ودوّر الأسرار إذا تم تثبيتها.
ما الذي يجب على فرق الأمن فعله اليوم
- أعد فحص كل قالب بريد يعكس بيانات العميل أو الجهاز.
- ابحث عن حزمة PyPI المخترقة وافرِض تدوير الأسرار حيثما تم تشغيلها.
- احصر إضافات VS Code وOpenVSX عبر أساطيل المطورين قبل موجة التحديث التالية.
- توقف عن التعامل مع أسطح الثقة كأنها تفاصيل UX. إنها الآن جزء من سطح الهجوم.
الخلاصة: نمط اليوم ليس برمجية خبيثة غريبة. إنه مجرد ثقة عادية يتم تحويلها إلى وسيلة نقل. إذا بدا workflow أو القالب أو السوق روتينياً، فالمهاجمون لاحظوه بالفعل.
اعثر على مسارات الثقة التي يختبرها المهاجمون بالفعل
تساعد KENSAI الفرق على رسم workflows المكشوفة والاعتماديات الخطرة والنقاط العمياء على سطح المطور قبل أن تتحول إلى حوادث حقيقية.
ابدأ فحصاً مجانياً →ابقَ حاداً.
🗡️ فريق أمن KENSAI