اختراق 4,800 حساب على GitHub.. هجوم إلكتروني يسرق مفاتيح سحابية وبيانات حساسة
تعرضت منصة GitHub لهجوم إلكتروني واسع النطاق، استغل خلاله مخترقون نحو 4,800 حساب مسروق لزرع برمجيات خبيثة داخل آلاف مشاريع البرمجة، في حملة أطلق عليها باحثو الأمن السيبراني اسم «wfx-loot».
وتمكن المهاجمون من سرقة كلمات مرور ومفاتيح خدمات سحابية وبيانات وصول إلى منصات الذكاء الاصطناعي، من أنظمة البناء الآلية التابعة لما لا يقل عن 1,806 مشاريع، ما يضع المطورين والشركات التي تعتمد على المنصة أمام ضرورة مراجعة مشروعاتها وإعداداتها الأمنية.
وبحسب شركة الأمن السيبراني «Aikido»، التي كشفت عن الهجوم أولًا، بدأت الحملة في 10 نوفمبر واستمرت حتى 12 نوفمبر 2026. كما تناولتها تقارير منشورة لدى مواقع متخصصة، من بينها BleepingComputer وSecurityWeek وChainguard وGitGuardian.
كيف نُفذ هجوم wfx-loot؟
اعتمد المهاجمون على تسجيل الدخول باستخدام 4,837 حسابًا مخترقًا على GitHub، ثم أنشأوا طلبات سحب تجريبية داخل 61,764 مشروعًا، بهدف تحديد المستودعات التي يمكنهم الوصول إليها وتعديل شفراتها البرمجية.
وبعد اكتشاف المشروعات التي تسمح لهم بإجراء تغييرات، أضافوا نصوصًا برمجية خبيثة بصورة مخفية إلى أنظمة البناء الآلي، المعروفة باسم GitHub Actions أو التكامل المستمر (CI)، أو إلى خطوات تثبيت حزم npm.
وكانت البرمجيات الخبيثة تبدأ عملها تلقائيًا عند تشغيل عملية البناء، فتجمع البيانات السرية المتاحة داخل بيئة المشروع وترسلها إلى المهاجمين.
ولزيادة صعوبة اكتشاف الاختراق، صُممت هذه النصوص لحذف نفسها بعد نحو دقيقة واحدة من تنفيذ المهمة، مع إزالة سجلات التشغيل المرتبطة بها، وهو ما قد يجعل اكتشاف الهجوم أكثر صعوبة لدى بعض الضحايا.
ما البيانات التي تمكن المخترقون من سرقتها؟
استهدف الهجوم مجموعة واسعة من بيانات الدخول والمفاتيح السرية التي تستخدمها الشركات والمطورون في إدارة مشروعاتهم وتشغيل خدماتهم الرقمية.
وشملت البيانات المسروقة:
رموز الوصول إلى GitHub والأسرار المخزنة داخل المشروعات.
مفاتيح الخدمات السحابية التابعة لشركات Amazon AWS وMicrosoft Azure وGoogle Cloud.
مفاتيح واجهات برمجة التطبيقات لخدمات الذكاء الاصطناعي، ومنها OpenAI وAnthropic وGemini وHugging Face.
ملفات تسجيل الدخول الخاصة بمنصات Docker وKubernetes وnpm وPyPI.
ولم يتوقف الأمر عند جمع بيانات الاعتماد، إذ عدّل النص الخبيث بعض الإعدادات السحابية بهدف الاحتفاظ بإمكانية الوصول إلى الأنظمة، حتى بعد تغيير كلمات المرور.
ووفقًا لما أوردته BleepingComputer، شملت الجهات المتضررة حسابات مرتبطة بشركات كبرى، إلى جانب وكالة الخدمات العامة الأمريكية (GSA) والحكومة الفرنسية.
كيف تمكن المهاجمون من الوصول إلى الحسابات؟
لا تزال الطريقة التي حصل بها المهاجمون على بيانات الحسابات غير معروفة بشكل قاطع.
لكن المؤكد، وفق المعلومات المتاحة، أنهم استخدموا رموز وصول مسروقة، ولم يعتمدوا على استغلال ثغرة أمنية في منصة GitHub نفسها.
وأشارت شركة GitGuardian إلى أن نحو 20% من الحسابات التي استُخدمت في الهجوم كانت قد تعرضت سابقًا للاختراق خلال حملة أخرى في أكتوبر عُرفت باسم «GhostAction».
ويرجح الباحثون أن بيانات تسجيل الدخول المسروقة ربما جرى بيعها أو تبادلها بين مجموعات مختلفة من المخترقين، وهو ما قد يفسر إعادة استخدامها في هجمات لاحقة.
كيف تتحقق من تعرض مشروعك للاختراق؟
ينصح خبراء الأمن المطورين بفحص مستودعاتهم على GitHub بحثًا عن مجموعة من العلامات التي قد تشير إلى وجود نشاط مرتبط بحملة «wfx-loot».
ومن أبرز المؤشرات التي ينبغي الانتباه إليها:
البحث عن فرع يحمل اسم wfx-docs أو طلب سحب بعنوان docs: dependency audit notes.
مراجعة سجل التعديلات والبحث عن عمليات تحمل أسماء مثل:
ci: refresh build cache
chore: add ci helper
chore: add dependency audit workflow
التحقق من وجود ملف مخفي باسم مشابه لـ .ci-xxxxxx.sh، يتضمن خطوة postinstall داخل ملف package.json.
مراجعة سجل تشغيل GitHub Actions، والانتباه إلى وجود أرقام تشغيل مفقودة خلال الفترة من 10 إلى 12 نوفمبر.
وقد تساعد هذه العلامات في اكتشاف آثار الهجوم، لكنها لا تمثل قائمة حصرية أو ضمانًا بأن المشروع آمن في حال عدم العثور عليها.
إجراءات عاجلة لحماية الحسابات والمشروعات
إذا اكتشف المطور أو مسؤول النظام أي مؤشر على تعرض مشروعه للهجوم، فينبغي التعامل مع جميع الأسرار التي كان بإمكان أنظمة البناء الوصول إليها على أنها ربما سُرقت.
وتشمل الإجراءات الموصى بها:
تغيير جميع الأسرار الخاصة بالمشروعات، بما في ذلك مفاتيح الخدمات السحابية ومفاتيح واجهات برمجة تطبيقات الذكاء الاصطناعي.
إلغاء رموز الوصول ومفاتيح SSH وصلاحيات التطبيقات المرتبطة بحساب GitHub، وعدم الاكتفاء بتغيير كلمات المرور.
فحص إعدادات خدمات AWS وAzure وGoogle Cloud للتأكد من عدم إضافة مفاتيح أو قواعد وصول غير معروفة.
إزالة النصوص البرمجية الخبيثة والملفات التي أُضيفت إلى المشروعات خلال الهجوم.
حذف أي إصدارات من حزم البرمجيات نُشرت خلال فترة الاختراق، بعد التحقق من ارتباطها بالنشاط المشبوه.
مراجعة جميع رموز الوصول التي تمتلك صلاحية الدخول إلى حساب GitHub، وإلغاء الرموز غير المستخدمة أو التي لم تعد هناك حاجة إليها.
تحذيرات للمطورين والشركات
تكشف حملة «wfx-loot» عن خطورة استهداف أنظمة البناء الآلي، التي تمتلك غالبًا صلاحيات الوصول إلى مفاتيح وبيانات حساسة تستخدمها المشروعات في تشغيل خدماتها ونشر تطبيقاتها.
وتكمن خطورة هذا النوع من الهجمات في أن المخترقين لا يحتاجون بالضرورة إلى اختراق الخوادم مباشرة؛ إذ يمكنهم استغلال حسابات مسروقة للوصول إلى مستودعات البرمجة، ثم إدخال تعليمات خبيثة تعمل تلقائيًا أثناء عمليات البناء والتثبيت.
ولذلك، لا تقتصر الحماية على تأمين كلمات المرور، بل تتطلب مراجعة صلاحيات الحسابات ورموز الوصول، ومراقبة التغييرات التي تطرأ على ملفات البناء، والتأكد من سلامة الإعدادات السحابية بصورة مستمرة.
