حملة تسرق بيانات الاعتماد عبر GitHub Actions في آلاف المستودعات

كشفت شركة «ستيب سيكيوريتي» تفاصيل حملة مستمرة يستولي فيها المهاجمون على حسابات مشرفين على مشروعات مفتوحة المصدر ويحقنون فيها سير عمل مموّهاً في الفرع الرئيسي للمستودع، وفق ما نقلته منصة «ذا هاكر نيوز». ويُقدّم سير العمل نفسه كتدقيق أمني باسم «Security Audit» أو «GitHub Actions Security»، بينما يسرّب البيانات إلى عنوان إنترنت ثابت عبر اتصال غير مشفّر.

وقدّر تقرير شركة «سوكيت» أن أكثر من 500 حساب على «غيت هاب» دفعت سير العمل هذا إلى عشرات آلاف المستودعات منذ 7 أكتوبر، وأن اختراق الحسابات جرى على الأرجح عبر رمز وصول شخصي مسروق من سجلات برامج سرقة البيانات. وأشارت المنصة إلى أن حسابين استُغلا بشكل مكثف، إذ دفع أحدهما سير العمل إلى 27 مستودعاً، فيما استُخدم الآخر لنشره في 318 مستودعاً خلال 16 دقيقة.

وتشمل البيانات المعرضة للخطر مفاتيح خدمات سحابية ومفاتيح واجهات برمجة لشركات ذكاء اصطناعي مثل Anthropic وOpenAI وOpenRouter، إضافة إلى رموز دخول لـ«غيت هاب» و«غيت لاب». وتشير تقديرات «غيت غارديان» إلى وجود 772 مستودعاً عاماً متأثراً تعود إلى 373 مستخدماً ومؤسسة، مع مفاتيح SSH وبيانات اعتماد لخدمات سحابية وسجلات حاويات وقواعد بيانات ضمن ما قد يكون انكشف.

وتمثل الحملة خطراً على سلسلة توريد البرمجيات، لأن المهاجم يحصل على صلاحيات داخل مستودعات يعتمد عليها آخرون في بناء برامجهم وتحديثاتهم. ويجعل هذا التغلغل مراجعة صلاحيات الحسابات والمفاتيح المستخدمة في أنظمة الأتمتة ضرورة عاجلة للمؤسسات، خصوصاً مع استمرار النشاط منذ بداية أكتوبر، بحسب ما أكدته الشركات التي رصدت الحملة.

ماذا تعني هذه المصطلحات؟

سير العمل: ملف يعرّف خطوات آلية ينفّذها نظام مثل «غيت هاب أكشنز» تلقائياً عند حدث معيّن، كبناء الكود أو اختباره أو نشره.

رمز الوصول الشخصي: مفتاح بديل لكلمة المرور يمنح صلاحية الوصول إلى حساب أو خدمة، وإذا سُرِّب يفتح الباب للمهاجم لتنفيذ عمليات باسم صاحبه.

تسريب البيانات: إخراج بيانات من نظام إلى جهة خارجية بشكل خفي، وهو الهدف النهائي في معظم الهجمات التي تسعى للاستيلاء على المعلومات الحساسة.