تم تتبع خرق GitHub إلى ملحق VS Code المسموم

تقول شركة مستودع الأكواد عبر الإنترنت GitHub إن الانتهاك الأخير لبياناتها الداخلية نشأ من قيام أحد الموظفين بتنزيل ملحق VS Code "المسمم".

كشفت الشركة المملوكة لشركة Microsoft لأول مرة في الساعات الأولى من هذا الصباح أنها تحقق في الوصول غير المصرح به إلى مستودعاتها الداخلية.

منذ ذلك الحين، أعلن GitHub أن الاختراق أثر فقط على مستودعات GitHub الداخلية.

وأضافت: "إن ادعاءات المهاجم الحالية بحوالي 3800 مستودع تتوافق بشكل مباشر مع تحقيقنا حتى الآن."

يتضمن الاختراق امتداد VS Code ضارًا تم تنزيله من سوق ملحقات VS Code الخاص بشركة Microsoft. يرمز VS Code إلى Visual Studio Code، ويقدم السوق العديد من الأدوات والتطبيقات التي يمكن لمحرري الأكواد تنزيلها.

1/ نحن نشارك تفاصيل إضافية فيما يتعلق بتحقيقنا في الوصول غير المصرح به إلى مستودعات GitHub الداخلية. لقد اكتشفنا بالأمس واحتوينا على اختراق لجهاز موظف يشتمل على ملحق VS Code مسموم. لقد أزلنا الإصدار الضار من الامتداد،...

– جيثب (@github) 20 مايو 2026

وقالت GitHub إنها "ستنشر تقريرًا أكمل بمجرد اكتمال التحقيق".

مجموعة القرصنة التي تدعي أنها اخترقت مستودعات GitHub هي TeamPCP، والتي تم ربطها بهجوم سلسلة التوريد Mini Shai Halud الذي أثر على OpenAI، بالإضافة إلى عدد من هجمات سلسلة التوريد الأخرى التي تستهدف برامج المطورين.

تبيع المجموعة ما يقرب من 4000 مستودع خاص في منتدى Breached hacking مقابل ما لا يقل عن 50000 دولار مع التأكيد على أنها لن تقبل أي "عروض منخفضة المستوى".

وجاء فيها: "هذه ليست فدية، لا يهمنا ابتزاز جيثب". من المفترض أن يتم "تمزيق" البيانات الموجودة في نهايتها بعد البيع، وإذا لم تتمكن من العثور على مشتري، قالت شركة TeamPCP إنها ستقوم بتسريب البيانات مجانًا.

يقول GitHub أنه أزال "الامتداد الضار"

يدعي GitHub أنه "أزال إصدار الامتداد الضار، وعزل نقطة النهاية، وبدأ الاستجابة للحوادث على الفور".

وقالت الشركة: "تم تبادل الأسرار المهمة أمس وبين عشية وضحاها مع إعطاء الأولوية لبيانات الاعتماد ذات التأثير الأعلى أولاً"، مضيفة أنها ستواصل مراقبة الوضع.

لم يكن الاستقبال للحادث متسامحًا. لاحظ المستخدمون شكاوى طويلة الأمد ضد المديرين التنفيذيين السابقين لـ Microsoft وGitHub الذين طلبوا حلولاً للتنزيلات المليئة بالبرامج الضارة داخل سوق ملحقات VS Code.

هل يمكنك حل المشكلة مع الأشخاص الذين ينشرون برامج ضارة في سوق ملحقات vscode؟ لقد سئمت من إرسال رسائل البريد الإلكتروني كل أسبوع إلى [email protected]، أصلح سوقك اللعين

– كراكوفيا (@ krakovia_evm) 19 ديسمبر 2024

تم رفع هذه الشكوى ضد الرئيس التنفيذي السابق لـ GitHub قبل عامين.

حذر الرئيس التنفيذي السابق لـ Binance، Changpeng Zhao، قائلاً: "إذا كان لديك مفاتيح API في التعليمات البرمجية الخاصة بك، حتى لو كانت عمليات إعادة الشراء الخاصة، فقد حان الوقت لمضاعفة التحقق منها وتغييرها..."

وبالمثل، حذر ريان كارسون، الرئيس التنفيذي لشركة الترميز Treehouse، قائلاً: "إذا كان لديك أي مستودعات خاصة تحتوي على أسرار نصية عادية أو مستندات/بنى حساسة، فقم بتدوير أسرارك على الفور."

أضاف خبير أمن العملات المشفرة، تايلور موناهان، إلى بيان تشاو، وقال إنه يجب عليك الحصول على مفاتيح واجهة برمجة التطبيقات الخاصة بك "من اتفاقيات إعادة الشراء الخاصة بك".

قال موناهان: "الخطر الأكبر الذي يواجهك ليس هذا. إنه تعرض المطورين لديك لإحدى سلاسل التوريد المزعجة هذه وتسريب كل تلك الأسرار".

تسرب GitHub الثاني في أيام

كما زعمت شركة البرمجيات Grafana في وقت سابق من هذا الأسبوع أنها شهدت وصولاً غير مصرح به إلى مستودعات GitHub الخاصة بها.

وتزعم أن المهاجمين "قاموا بتنزيل قاعدة التعليمات البرمجية الخاصة بنا"، قبل إصدار "طلب فدية تحت التهديد بالكشف عن البيانات".

⚠️ في 16 مايو 2026، أكدنا وقوع هجوم مستهدف من قبل مجموعة جرائم إلكترونية تمكنت من الوصول غير المصرح به إلى مستودعات GitHub الخاصة بنا وقامت بتنزيل قاعدة التعليمات البرمجية الخاصة بنا. هنا هو آخر تحديث حول تحقيقاتنا. https://t.co/C2btjWDOxu

– جرافانا (@ جرافانا) 19 مايو 2026

في هذه الحالة، تدعي غرافانا أن الاختراق نشأ أيضًا من هجوم سلسلة التوريد المرتبط بحملة ميني شاي خلود.

وقالت: "لقد أجرينا تحليلًا وقمنا بسرعة بتدوير عدد كبير من الرموز المميزة لسير عمل GitHub، لكن الرمز المميز المفقود أدى إلى وصول المهاجمين إلى مستودعات GitHub الخاصة بنا. وأكدت المراجعة اللاحقة أن سير عمل GitHub المحدد الذي اعتبرناه في الأصل غير متأثر، قد تم اختراقه في الواقع".

في عام 2024، كانت كلمات المرور ورمز الموقع المسربة الناشئة عن Binance قابلة للعرض على GitHub لعدة أشهر قبل إزالتها في النهاية.

وقالت البورصة إن التسريبات كانت قادرة على التسبب في "ضرر مالي جسيم"، وأن تحميل بياناتها لم يُسمح به مطلقًا.

لقد تواصلت Protos مع GitHub للتعليق وسوف تقوم بتحديث هذه القطعة في حالة تلقينا أي رد.