هل يمكن أن تتحول سوق الإضافات البرمجية المفتوحة المصدر إلى فخ إلكتروني ينتظر المستخدمين غير الحذرين؟ هذا ما حدث بالفعل عندما قام مهاجم بشراء أكثر من ثلاثين إضافة ووردبريس من منصة فليبا بمبلغ يتجاوز ستة أرقام، ثم زرع فيها ثغرة خلفية خطيرة قبل أن ينشطها بعد ثمانية أشهر كاملة. العملية تمت عبر عقد ذكي على شبكة إيثريوم للتحكم بالخوادم البعيدة، مما جعل تتبعها شبه مستحيل.

كيف تم تنفيذ هجوم السلسلة التموينية على إضافات ووردبريس؟

بدأت القصة عندما لاحظ باحثو الأمن السيبراني نشاطاً مشبوهاً في مجموعة من الإضافات التي تم نقل ملكيتها مؤخراً على منصة Flppa. المهاجم لم يكتفِ بشراء الإضافات القديمة بل دفع مبالغ طائلة للحصول على حسابات مطورين موثوقين، ثم أضاف تعليمة برمجية ضارة في أول تحديث له.

هذه التعليمة كانت عبارة عن ثغرة من نوع PHP Deserialization، وهي تقنية تسمح للمهاجم بإرسال بيانات خبيثة إلى الخادم لتنفيذ أوامر تحكم عن بعد. المدهش أن المهاجم انتظر ثمانية أشهر كاملة قبل تفعيل هذه الثغرة، مما جعل المستخدمين يثقون في التحديثات الجديدة ويعتبرونها آمنة.

بعد مرور هذه الفترة الطويلة، تم تنشيط الثغرة بشكل تدريجي عبر 400 ألف موقع ووردبريس. استخدم المهاجم عقوداً ذكية على شبكة إيثريوم لتحديد عناوين الخوادم التي يريد التواصل معها، مما جعل من الصعب جداً حجب هذه الخوادم أو تعقبها.

ثغرة في نظام نقل الملكية على ووردبريس

ما يثير القلق في هذه القصة هو أن منصة ووردبريس الرسمية لا تمتلك آلية للتحقق من عمليات نقل ملكية الإضافات. هذا الفجوة الأمنية خطيرة جداً، خاصة أن منصات أخرى مثل npm وPyPI قامت بسد هذه الثغرة منذ سنوات. يمكن لأي شخص شراء إضافة قديمة ثم إصدار تحديثات ضارة دون أي تدقيق.

هذا الوضع يجعل آلاف المواقع التي تعتمد على إضافات ووردبريس في خطر دائم. فعندما يقرر مطور أصلي بيع إضافته، لا توجد طريقة للتأكد من أن المشتري الجديد ليس جهة ضارة. التحديثات التالية قد تتضمن أكواداً خبيثة دون أن يشعر أحد.

لماذا اختار المهاجم عقود إيثريوم الذكية؟

استخدام العقود الذكية في هذا الهجوم كان خطوة ذكية من وجهة نظر المهاجم. هذه العقود تتيح تخزين عناوين الإنترنت بشكل مشفر داخل شبكة البلوكتشين، مما يجعل من المستحيل حذفها أو تعديلها. كما أن المهاجم يستطيع تغيير هذه العناوين في أي وقت عبر إرسال معاملة جديدة إلى العقد الذكي.

هذا النهج يجعل الهجمات التقليدية التي تعتمد على حجب عناوين الخوادم غير فعالة تماماً. بدلاً من ذلك، أصبح على فرق الأمن السيبراني مراقبة شبكة إيثريوم بشكل مستمر للعثور على العقود الذكية المشبوهة، وهي مهمة شاقة وتتطلب موارد كبيرة.

دروس مستفادة لمطوري ومسؤولي المواقع

هذه الحادثة تذكرنا بأهمية مراقبة تحديثات الإضافات بعناية. لا ينبغي تثبيت أي تحديث جديد دون قراءة سجل التغييرات والتحقق من مصدره. كما يجب على مسؤولي المواقع استخدام إضافات أمان متخصصة تراقب أي تغييرات مفاجئة في الملفات الأساسية للنظام.

للمطورين الذين يفكرون في بيع إضافاتهم، من الأفضل نقل الملكية من خلال وسطاء موثوقين أو عبر عقود قانونية تضمن الحقوق. يمكن أيضاً استخدام أنظمة توقيع الشفرات للتحقق من أن التحديثات تأتي من المطور الأصلي وليس من جهة ضارة.

المنصات مثل ووردبريس بحاجة ماسة إلى تبني سياسات أكثر صرامة لنقل الملكية، مثل استخدام التحقق بخطوتين أو توثيق الهوية الرسمية. هذا الإجراء البسيط قد يمنع عمليات مماثلة في المستقبل ويحمي ملايين المواقع حول العالم.

نظرة إلى المستقبل: كيف نحصن أنفسنا؟

مع تزايد اعتماد العالم على إضافات الطرف الثالث، تصبح هجمات السلسلة التموينية أكثر خطورة. المستقبل يتطلب تعاوناً أوثق بين منصات توزيع البرمجيات والمجتمع الأمني لتطوير معايير جديدة للتحقق من المطورين. يمكن لأنظمة الذكاء الاصطناعي أن تلعب دوراً في كشف الأنماط المشبوهة في التحديثات البرمجية.

لكن في النهاية، تظل مسؤولية الأمان تقع على عاتق المستخدم النهائي. الثقة العمياء في التحديثات قد تؤدي إلى عواقب وخيمة، بينما اليقظة المستمرة والتدقيق الدوري هما أفضل وسيلة للدفاع. هذه الحادثة تذكير بأن كل موقع على الإنترنت هو هدف محتمل، وأن الحذر واجب في عالم الرقمنة المتسارع.