يشكل برمجيات GhostClaw الخبيثة، التي تستخدم الذكاء الاصطناعي، تهديداً متزايداً لمستخدمي نظام macOS، حيث تنتشر عبر مستودعات GitHub المزيفة وتستهدف سرقة بيانات الاعتماد.
تستخدم هذه الحملة أساليب الهندسة الاجتماعية المتقدمة، متخفية في طيات أدوات تطوير مشروعة، بهدف اختراق أنظمة المستخدمين وإسقاط حمولات خبيثة إضافية.
بدأت حملة GhostClaw بالظهور بشكل واضح في أوائل مارس 2026، حيث وثقت أبحاث JFrog Security Research الحملة الأولية، والتي كانت تعرف حينها باسم GhostClaw/GhostLoader.
في البداية، اعتمدت البرمجيات الخبيثة على توزيع نفسها عبر حزم npm الضارة، مستهدفة المطورين الذين يعتمدون بشكل روتيني على تثبيت الأدوات من سجلات الحزم العامة.
ومع ذلك، سرعان ما تجاوزت الحملة نطاق منظومة npm لتنتشر إلى مستودعات مستضافة على GitHub. هذه المستودعات انتحلت صفة أدوات تداول، وأدوات تطوير برمجيات، وغيرها من الأدوات الشائعة المستخدمة من قبل المطورين.
قام باحثو Jamf Threat Labs بعد ذلك بتحديد ثماني عينات مرتبطة بنفس الحملة، وذلك بعد تحليل معمق لمستودعات GitHub المتعددة المرتبطة بهذا النشاط.
كشف تحليلهم عن بنية تحتية إضافية ومتجهات إصابة جديدة، مما يؤكد أن GhostClaw قد توسعت بشكل كبير متجاوزةً طريقة توصيلها الأصلية المعتمدة على npm.
وكان أحد المستودعات المحددة، وهو TradingView-Claw، قد حصد 386 إعجاباً على GitHub، مما أضفى عليه مصداقية زائفة بين المستخدمين والمطورين غير الحذرين.
GhostClaw: تهديد متطور لمستخدمي macOS
ما يجعل GhostClaw خطيرة بشكل خاص هو نهج الإصابة المزدوج الذي تتبعه. في أحد المسارات، تحتوي المستودعات على ملفات README تقدم تعليمات تثبيت مفصلة، والتي تدفع المستخدمين إلى تشغيل أمر Shell باستخدام curl.
في المسار الثاني، تستهدف البرمجيات الخبيثة وكلاء الترميز الذين يعتمدون على الذكاء الاصطناعي، وذلك من خلال ملفات SKILL.md. هذه الملفات تحدد البيانات الوصفية وأوامر التنفيذ، مما يؤدي إلى قيام أدوات التطوير الآلية بتشغيل سلسلة الإصابة دون علمها.
هذا يعني أن GhostClaw قادرة على إصابة نظام دون أي تدخل بشري مباشر، مما يزيد من صعوبة اكتشافها.
يمتد تأثير هذه الحملة إلى ما هو أبعد من المطورين الأفراد. من خلال وضع التعليمات البرمجية الضارة داخل أنظمة بيئية موثوقة مثل GitHub وأدوات البرمجة المدعومة بالذكاء الاصطناعي، تمكن المهاجمون من الوصول إلى عدد أكبر من الأنظمة عبر آلية توصيل واحدة.
كما لاحظت Jamf Threat Labs وجود صلات بحملات أخرى ذات صلة، بما في ذلك Glassworm وPolinRider، والتي استخدمت تقنيات مشابهة في سلسلة توريد البرمجيات. تشير هذه الارتباطات إلى اتجاه متزايد في طريقة توزيع البرمجيات الخبيثة على نطاق واسع من قبل المهاجمين.
مراحل الإصابة المتعددة وسرقة بيانات الاعتماد
بغض النظر عن كيفية بدء الإصابة الأولية، تتبع GhostClaw سلسلة تنفيذ متسلسلة متعددة المراحل مصممة لحصد بيانات الاعتماد وتأسيس الاستمرارية على نظام الضحية.
تبدأ العملية ببرنامج bootstrap يسمى install.sh، والذي يقدم نفسه كأداة إعداد روتينية. يقوم هذا البرنامج بفحص إصدار macOS وهيكل المعالج للنظام المستهدف، ثم يقوم بتثبيت نسخة متوافقة من Node.js بصمت في دليل يتحكم فيه المستخدم، متجاوزاً الحاجة إلى صلاحيات مرتفعة.
يستخدم البرنامج أمر curl مع علامة --insecure لتنزيل Node.js، متجاهلاً التحقق من شهادة TLS. هذا السلوك يعتبر نادراً في المثبتات المشروعة.
بعد ذلك، تنتقل عملية التنفيذ إلى ملف setup.js، وهو ملف JavaScript تم تعتيمه بشكل كبير ومسؤول عن جمع بيانات الاعتماد.
لتجنب إثارة الشكوك، يقوم البرنامج بمسح شاشة الطرفية وعرض مؤشرات تقدم وهمية تحاكي تثبيت SDK مشروع.
تظهر بعد ذلك نافذة تطلب بيانات الاعتماد، ويتم التحقق من كلمة المرور المقدمة باستخدام الأداة الأصلية لنظام macOS، dscl، مع خيار -authonly. يتيح هذا للبرنامج الخبيث تأكيد بيانات الاعتماد المسروقة دون إثارة حوارات المصادقة القياسية للنظام.
إذا لم يكن الوصول الكامل إلى القرص (Full Disk Access) مفعلاً بالفعل، فإن البرمجيات الخبيثة تعرض مربعات حوار AppleScript التي تشبه إلى حد كبير نوافذ الأمان الأصلية لنظام macOS، موجهة المستخدم عبر عملية منح هذه الصلاحية في إعدادات النظام.
بمجرد جمع بيانات الاعتماد وتأمين الوصول، يتصل setup.js بخادم القيادة والتحكم في trackpipe[.]dev لاسترداد حمولة ثانوية مشفرة. يتم كتابة هذه الحمولة في ملف مؤقت باسم /tmp/sys-opt-{random}.js.
بعد ذلك، يتم حذف الملف، وتقوم البرمجيات الخبيثة بتأسيس استمرارية عن طريق نقل نفسها إلى المسار ~/.cache/.npm_telemetry/monitor.js. تم تصميم هذا المسار بعناية ليتناسب مع أنشطة npm الطبيعية.
يجب على المستخدمين والمطورين توخي الحذر بشكل خاص عند تشغيل أوامر التثبيت من مستودعات GitHub أو الأدلة عبر الإنترنت، حتى لو بدت هذه المصادر موثوقة.
يظل التحقق من مصدر وسلوك أي كود قبل تنفيذه أحد أكثر الدفاعات فعالية.
يجب على فرق الأمن التي تدير بيئات macOS مراقبة استخدام dscl غير المتوقع للتحقق من صحة بيانات الاعتماد، ومراقبة العمليات التي تحاول الحصول على الوصول الكامل إلى القرص أو كتابة ملفات معتمة إلى الدلائل المؤقتة.