هاكرز يدرجون برامج ضارة في تحميل برنامج Mistral AI

باختصار

• قالت شركة مايكروسوفت إن المهاجمين اخترقوا تحميل برنامج Mistral AI المستخدم من قبل المطورين.
• يُزعم أن البرمجية الخبيثة سرقت بيانات الاعتماد ويمكن أن تتلف بعض أنظمة لينكس.
• قالت Mistral إنه لا توجد أدلة على أن بنيتها التحتية تعرضت للاختراق.

قالت شركة مايكروسوفت لمعلومات التهديدات يوم الاثنين إن المهاجمين أدخلوا رمزًا خبيثًا في حزمة برمجيات Mistral AI التي توزع عبر PyPI، وهي منصة شهيرة يستخدمها المطورون لتحميل أدوات برمجية بايثون. في منشور على X، قالت مايكروسوفت إن الرمز الخبيث يعمل تلقائيًا عندما يستخدم المطورون البرنامج على أنظمة لينكس. قام الرمز بتنزيل ملف خبيث ثانٍ يسمى transformers.pyz من خادم بعيد وأطلقه في الخلفية. “يبدو أن اسم الملف transformers.pyz مختار عمدًا ليحاكي مكتبة Hugging Face Transformers المستخدمة على نطاق واسع ويندمج في بيئات التعلم الآلي/التطوير”، كتبت مايكروسوفت.

قالت الشركة إن البرمجية الخبيثة تعمل بشكل أساسي كأداة سرقة بيانات اعتماد قادرة على جمع معلومات تسجيل دخول المطورين ورموز الوصول. كما ذكرت مايكروسوفت أن البرمجية الخبيثة تتجنب الأنظمة التي تستخدم اللغة الروسية وتحتوي على رمز يمكنه حذف ملفات عشوائيًا على بعض الأنظمة التي يبدو أنها تقع في إسرائيل أو إيران. ترتبط التقارير بالهجوم الأخير بحملة البرمجيات الخبيثة الأوسع “Shai-Hulud” التي بدأت في سبتمبر وتستهدف سلاسل إمداد البرمجيات من خلال إصابة حزم المطورين الموثوقة وسرقة بيانات الاعتماد من الأنظمة المخترقة.  “Shai-Hulud، تلك الدودة الخبيثة المخيفة التي يتحدث عنها الجميع، تم فتح مصدرها”، كتبت شركة الأمن السيبراني VX Underground على X. “ماذا يعني هذا؟ فريق PCP، أو شخص آخر، أصدر الدودة المسلحة بالكامل لك.”

نصحت مايكروسوفت المؤسسات بعزل أنظمة لينكس المتأثرة، وحظر العنوان الإلكتروني المرتبط، والبحث عن علامات الإصابة، واستبدال بيانات الاعتماد المحتملة التعرض. في يوم الثلاثاء، قالت Mistral على موقعها الإلكتروني إنها تأثرت بهجوم على سلسلة التوريد مرتبط بحادث أمني أوسع لـ TanStack. ذكرت الشركة أن دودة آلية مرتبطة بالهجوم أدت إلى نشر إصدارات من حزم NPM و PyPI تم اختراقها. “تشير التحقيقات الحالية إلى أن جهاز مطور متأثر كان متورطًا”، كتبت الشركة. “ليس لدينا أي مؤشر على أن بنية Mistral التحتية تعرضت للاختراق.” مدير حزم نود أو Node Package Manager أو NPM هو أحد أكبر منصات تحميل البرمجيات في العالم لمطوري جافا سكريبت. أصبح هدفًا متزايدًا في هجمات إلكترونية مرتبطة بالعملات المشفرة لأن العديد من تطبيقات البلوكشين والمحافظ ومنصات التداول تعتمد على البرمجيات الموزعة عبر الخدمة. في سبتمبر، حذر تشارلز جيومليت، المدير التقني لشركة Ledger، من أن القراصنة اخترقوا حزم NPM واسعة الاستخدام في هجوم يمكن أن يعيد توجيه معاملات العملات المشفرة وسرقة الأموال. “تم تحميل الحزم المتأثرة أكثر من مليار مرة بالفعل، مما يعني أن نظام جافا سكريبت بأكمله قد يكون في خطر”، كتب جيومليت على X في ذلك الوقت. استخدمت هجمات حديثة أخرى حزم NPM مسمومة مرتبطة بروبوتات تداول العملات المشفرة المزيفة وأدوات البلوكشين لنشر البرمجيات الخبيثة من خلال عقود ذكية على إيثريوم.