تنبيه أمني: 7 حزمة npm خبيثة تستهدف مستخدمي مجال العملات الرقمية عبر خدمة إخفاء Adspect

المصدر: CryptoNewsNet العنوان الأصلي: كشفت أبحاث الأمن السيبراني عن 7 حزمة npm نشرتها جهة تهديد واحدة تستهدف مستخدمي العملات المشفرة الرابط الأصلي: كشفت أبحاث الأمن السيبراني عن مجموعة من سبعة حزم npm نشرتها جهة تهديد واحدة. تستخدم هذه الحزم خدمة تمويه تسمى Adspect للتمييز بين الضحايا الحقيقيين وباحثي الأمن، مما يؤدي في النهاية إلى إعادة توجيههم إلى مواقع مشبوهة ذات طابع تشفيري.

تم نشر حزم npm الضارة من قبل ممثل تهديد يدعى “dino_reborn” بين سبتمبر ونوفمبر 2025. تتضمن الحزم (342 downloads) تضمين الإشارات ، و dsidospsodlks (184 downloads) ، و applicationooks21 (340 downloads) ، و application-phskck (199 downloads) ، و integrator-filescrypt2025 (199 downloads) ، و integrator-2829 (276 downloads) ، و Integrator-2830 (290 downloads).

Adspect يتظاهر بأنه خدمة قائمة على السحابة تحمي حملات الإعلانات

وفقًا لموقعه على الإنترنت، تعلن Adspect عن خدمة قائمة على السحابة مصممة لحماية حملات الإعلانات من الحركة غير المرغوبة، بما في ذلك الاحتيال بالنقر والروبوتات من شركات مكافحة الفيروسات. كما تدعي أنها تقدم “تخفي محصن” وأنها “تخفي بشكل موثوق كل منصة إعلانات.”

!

يوفر ثلاث خطط: مكافحة الاحتيال، شخصية، ومحترفة، والتي تكلف 299 دولار، 499 دولار، و $999 شهريًا. كما تدعي الشركة أن المستخدمين يمكنهم الإعلان عن “أي شيء ترغب فيه”، مضيفة أنها تتبع سياسة عدم طرح الأسئلة: “لا نهتم بما تقوم بتشغيله ولا نفرض أي قواعد محتوى.”

قالت الباحثة في أمان الشبكات أوليفيا براون: “عند زيارة موقع مزيف تم إنشاؤه بواسطة أحد الحزم، يحدد المهاجم ما إذا كان الزائر ضحية أم باحث أمان. إذا كان الزائر ضحية، فإنهم يرون CAPTCHA مزيف، مما يؤدي في النهاية بهم إلى موقع خبيث. إذا كانوا باحثين في أمان الشبكات، فإن القليل من العلامات على الموقع المزيف ستنبههم إلى أن شيئًا خبيثًا قد يحدث.”

قدرة AdSpect على حظر إجراءات الباحثين في متصفح الويب الخاص به

من بين هذه الحزم، تحتوي ستة منها على برنامج ضار بحجم 39 كيلوبايت يخفي نفسه ويقوم بعمل نسخة من بصمة النظام. كما أنه يحاول التهرب من التحليل من خلال حظر إجراءات المطورين في متصفح الويب، مما يمنع الباحثين من عرض الشيفرة المصدرية أو إطلاق أدوات المطور.

تستفيد الحزم من ميزة JavaScript المسماة “تعبير الوظيفة المنفذة على الفور (IIFE).” إنها تسمح بتنفيذ الشفرة الخبيثة على الفور عند تحميلها في متصفح الويب.

ومع ذلك، فإن “signals-embed” لا يحتوي على أي وظائف خبيثة بشكل مباشر وهو مصمم لإنشاء صفحة بيضاء مزيفة. ثم يتم إرسال المعلومات الملتقطة إلى وكيل لتحديد ما إذا كان مصدر الحركة من ضحية أو باحث، ثم تقديم CAPTCHA مزيفة.

بعد أن ينقر الضحية على خانة CAPTCHA، يتم إعادة توجيههم إلى صفحة مزيفة تتعلق بالعملات المشفرة تتظاهر بتقديم خدمات، مع الهدف المحتمل لسرقة الأصول الرقمية. ولكن إذا تم الإشارة إلى الزوار كمرشدين محتملين، يتم عرض صفحة بيضاء مزيفة للمستخدمين. كما تحتوي أيضًا على كود HTML يتعلق بعرض سياسة الخصوصية المرتبطة بشركة مزيفة.

يتزامن هذا التقرير مع تقرير من خدمات ويب أمازون. وقد صرحت أن فريق Amazon Inspector قد حدد وبلغ عن أكثر من 150,000 حزمة مرتبطة بحملة زراعة رموز منسقة في سجل npm والتي تعود أصولها إلى موجة أولية تم اكتشافها في أبريل 2024.

“هذه واحدة من أكبر حوادث فيض الحزم في تاريخ سجلات المصدر المفتوح، وتمثل لحظة حاسمة في أمان سلسلة التوريد،” صرح الباحثون. “يولد المهاجمون حزمًا تلقائيًا وينشرونها لكسب مكافآت العملات المشفرة دون وعي المستخدم، مما يكشف كيف أن الحملة قد توسعت بشكل كبير منذ تحديدها الأول.”