الجرائم الإلكترونية المدعومة من الحكومة – ما هي مجموعة لازاروس؟

الجرائم الإلكترونية تهديد كبير. تشير التقديرات إلى أن الضرر الإجمالي الذي قد تسببه الجرائم الإلكترونية على الأنظمة حول العالم وصل إلى 6 تريليون دولار أمريكي في عام 2021. وإذا كان الرقم يبدو مخيفًا بالفعل، فمن المتوقع أن يصل إلى 10.5 تريليون دولار أمريكي بحلول عام 2025. في عام 2015، كان 3 تريليون دولار. نمو يزيد عن 300٪ خلال عقد من الزمن هو شيء يجب أن يقلقنا جميعًا. نعم، قرأت ذلك بشكل صحيح!

ما هي الجرائم الإلكترونية؟

الجرائم الإلكترونية هو مصطلح شامل يضم مجموعة واسعة من المخططات والجهود التي تهدف إلى إزعاج، إتلاف، وإلحاق الضرر بالشبكات والأنظمة. يمكن أن تكون أي نوع من النشاط الضار الذي يستهدف حاسوبًا، شبكة حاسوب، أو جهازًا متصلًا بالشبكة. قد تكون هجوم برمجيات خبيثة، حيث يقوم المهاجم بإصابة النظام بفيروس.

حملة التصيد الاحتيالي تستخدم رسائل البريد الإلكتروني المزعجة، الرسائل، أو أشكال أخرى من التواصل لخداع المتلقي لتسريب خصوصية البيانات. هجوم الحرمان من الخدمة الموزع (DDoS) غالبًا ما يُنفّذ على أجهزة إنترنت الأشياء، ويؤدي إلى إسقاط نظام أو شبكة معينة.

أنواع الجرائم الإلكترونية قد تشمل أيضًا سرقة البيانات المالية، بيانات البطاقات أو المدفوعات، الابتزاز الإلكتروني، التجسس الإلكتروني، انتهاك حقوق النشر، القمار غير القانوني، هجمات الفدية، والمزيد.

وفقًا للبيانات التي قدمتها شركة كاسبرسكي للأمن السيبراني العالمية، يمكن أن يكلف هجوم واحد، سواء كان خرقًا للبيانات، برمجية خبيثة، فدية، أو هجوم DDoS، الشركة، بغض النظر عن حجمها، متوسط ​​200,000 دولار أمريكي. في الواقع، تُظهر بيانات شركة التأمين هيسكوكس أن الشركات المتضررة قد تضطر إلى إغلاق أعمالها خلال ستة أشهر من الهجوم.

بلا شك، الجرائم الإلكترونية هي شيء يأتي بعواقب وخيمة وشديدة. المهاجمون أو القراصنة منتشرون عالميًا ومجهزون لشن هجمات على أي نظام أو شبكة من أي موقع بعيد.

مع ذلك، الجريمة ليست شيئًا نربطه عادةً بالوكالات المدعومة من الحكومة. هم يفرضون القوانين. نادراً ما نفكر فيهم كمرتكبين. وستتفاجأ بالتأكيد إذا طرحنا في هذه المرحلة قضية الجرائم الإلكترونية المدعومة من الحكومة. لكن ليس من غير المألوف استخدام الجرائم الإلكترونية لأغراض سياسية وتجاوز المكاسب المالية. هنا، سنناقش حالة نموذجية من هذا النوع، التي تزعم تورط الدولة في ارتكاب الجرائم الإلكترونية.

القضية الغريبة لجون تشانغ هيك وكيم إيل

تشير موقع مكتب التحقيقات الفيدرالي إلى شخصين من كوريا الشمالية في قائمة الأكثر طلبًا. كلا من جون تشانغ هيك وكيم إيل متهمان بالتآمر لارتكاب احتيال عبر الأسلاك والبنوك والاحتيال المتعلق بالحواسيب. يُزعم أنهما قراصنة مدعومون من الدولة وكانا جزءًا من مؤامرة إجرامية أدت إلى بعض أغلى اختراقات الحواسيب في التاريخ. لكن هؤلاء ليسوا متهمين عاديين. ليسوا مرتكبين يعملون بأجندة بسيطة لنهب الأموال. هدفهما أعمق وأكثر غموضًا مما قد يتوقع المرء.
كلاهما يُزعم أنهما عضوان في مجموعة من القراصنة تابعة لمكتب الاستطلاع العام لحكومة كوريا الشمالية. المؤامرة التي كانا جزءًا منها تشمل مجموعات قرصنة كورية شمالية أطلق عليها العديد من الباحثين في الأمن السيبراني اسم التهديد المستمر المتقدم 38 (APT38) أو “مجموعة لازاروس”.

مجموعة لازاروس وأفعالها المزعومة

ظهر آخر ذكر لمجموعة لازاروس “الشهيرة” عندما، في نهاية يناير 2022، أكدت مكتب التحقيقات الفيدرالي أنها كانت المجموعة التي نظمت عملية اختراق جسر هارموني بقيمة 100 مليون دولار في يونيو 2022.

في 23 يونيو 2022، حدد فريق بروتوكول هارموني سرقة على جسر هورايزن بلغت قيمتها تقريبًا 100 مليون دولار. في بيانها الصادر في 23 يناير، أشار مكتب التحقيقات الفيدرالي بوضوح إلى تأكيد أن مجموعة لازاروس وAPT38، “الجهات الفاعلة السيبرانية المرتبطة بكوريا الشمالية”، كانت مسؤولة عن سرقة ما قيمته 100 مليون دولار من العملات الافتراضية. استغل المهاجمون الثغرات الأمنية الموجودة في جسر هورايزن إيثيريوم الخاص بهارموني وسحبوا عدة أصول مخزنة في الجسر عبر 11 عملية.

قبل اختراق جسر هارموني هورايزن، ظهر اسم مجموعة لازاروس المشهورة أيضًا في تقارير اختراق جسر رونين بقيمة 600 مليون دولار في مارس 2022. لأولئك غير المألوفين باختراق جسر رونين، كان ذلك أكبر استغلال للأصول الافتراضية حدث في عام 2022. بلغت الأموال المخترقة ما مجموعه 612 مليون دولار. وشملت 173,600 إيثريوم و25.5 مليون عملة USD.

Axie Infinity، لعبة رموز غير قابلة للاستبدال (NFT) تعتمد على مفهوم اللعب مقابل الكسب، استخدمت رونين كسلسلة جانبية لإيثريوم. أثناء شرح طبيعة الهجوم، أشار مطورو Axie Infinity، Sky Mavis، إلى أن القراصنة حصلوا على مفاتيح خاصة لاختراق عقد المدققين والموافقة على المعاملات بشكل احتيالي لتفريغ الأموال من الجسر.

قامت إدارة خزانة الولايات المتحدة، مكتب مراقبة الأصول الأجنبية (OFAC)، بتحديث قائمة الأشخاص والكيانات الخاصة (SDN) في منتصف أبريل 2022 لتشير إلى احتمال تورط مجموعة لازاروس في الاختراق. كان القراصنة متقنين وسريين لدرجة أنه تم اكتشافهم بعد عدة أيام من حدوث الاختراق، رغم كونه أحد أكبر السرقات من نوعه في مجال العملات الرقمية.

كان نفس ذلك هو طبيعة اختراق جسر هارموني هورايزن، حيث استخدمت مجموعة لازاروس بروتوكول RAILGUN، وهو بروتوكول خصوصية، لتوجيه أكثر من 60 مليون دولار من إيثريوم مسروقة خلال الاختراق. وفقًا للتحقيقات الفيدرالية، تم تجميد جزء من هذه الأموال بالتعاون مع بعض مزودي خدمات الأصول الافتراضية (VASPs)، بينما تم تحويل باقي البيتكوين إلى عناوين أخرى.

حافظ مكتب التحقيقات الفيدرالي على وحدات الجرائم السيبرانية والأصول الافتراضية، إلى جانب مكتب المدعي العام الأمريكي ووحدة العملات الرقمية في وزارة العدل الأمريكية، لتحديد واعتراض وتعطيل جهود هذه المجموعة الكورية الشمالية. يعتقد المكتب أن سرقة وغسيل العملات الافتراضية من قبل المجموعة تهدف إلى دعم برامج الصواريخ الباليستية والأسلحة ذات الدمار الشامل في كوريا الشمالية.

إصدار استشارة مشتركة للأمن السيبراني

في 18 أبريل 2022، أصدرت وكالة الأمن السيبراني وبنية تحتية الأمن (CISA) بالتعاون مع مكتب التحقيقات الفيدرالي ووزارة الخزانة الأمريكية استشارة حول “النشاط المدعوم من الدولة الكورية الشمالية المستهدف لتقنية البلوك تشين وصناعة العملات الرقمية”.

التهديدات

تشير الاستشارة إلى أن التهديد السيبراني المرتبط بسرقات العملات الرقمية نشط منذ عام 2020 على الأقل. كما أن الوثيقة، دون أي غموض، اعترفت بأن هذا التهديد المتقدم المستمر (APT) مدعوم من الدولة الكورية الشمالية. قامت الوكالات بتصنيف المجموعة باسم مجموعة لازاروس، APT 38، BlueNoroff، وStardust Chollima.

تحليل الحكومة الأمريكية للتهديد يضع هؤلاء الفاعلين السيبرانيين الخبيثين ككيانات تستهدف مجموعة متنوعة من المنظمات في صناعة البلوك تشين والعملات الرقمية. لا يستثنون أحدًا. تشمل قائمة الأهداف بورصات العملات الرقمية، بروتوكولات التمويل اللامركزي (DeFi)، ألعاب الفيديو التي تعتمد على العملات الرقمية (P2E)، شركات تداول العملات الرقمية، صناديق رأس المال المخاطر، وحاملي كميات كبيرة من العملات الرقمية أو الرموز غير القابلة للاستبدال ذات القيمة.

مجموعة لازاروس، والفاعلين السيبرانيين المشابهين لهم، ماهرون في الهندسة الاجتماعية للضحايا عبر مجموعة من منصات التواصل لإغراءهم في النهاية بتحميل تطبيقات عملات رقمية مخترقة على أنظمة تشغيل ويندوز وماك أو إس. من خلال هذه التطبيقات، يحصل القراصنة على وصول إلى جهاز المستخدم النهائي ويقومون بتوزيع البرمجيات الخبيثة عبر بيئة الشبكة بأكملها.

أشارت الاستشارة إلى أن مجموعة لازاروس كانت مسؤولة عن استهداف مجموعة من الشركات والكيانات والبورصات في صناعة البلوك تشين والعملات الرقمية. كانت طريقتهم حملات تصيد موجهة (spear‑phishing) واستخدام البرمجيات الخبيثة للسرقة.

برمجية AppleJeus الضارة

حددت مكتب التحقيقات الفيدرالي، CISA، ووزارة الخزانة (DoT) بشكل خاص استخدام برمجية AppleJeus الضارة في استهداف مجموعة لازاروس للمنظمات لسرقة العملات الرقمية في أكثر من 30 دولة خلال السنوات القليلة الماضية. وأفادت تقرير الوكالة أن كوريا الشمالية استخدمت “برمجية AppleJeus التي تتنكر كمنصات تداول عملات رقمية منذ عام 2018 على الأقل”.

يبدو أن التطبيق الضار تم إنشاؤه بواسطة شركة تداول عملات رقمية شرعية. والأفراد الذين وقعوا في فخ البرمجية يعتقدون أنه تطبيق طرف ثالث من موقع قانوني ويقومون بتحميله.

من المفترض أن الحكومة الكورية الشمالية استخدمت عدة إصدارات من البرمجية على مدار الخمس سنوات الماضية منذ اكتشافها في عام 2018.

طريقة التنفيذ

يبدأ المجرمون السيبرانيون عملياتهم بإرسال عدد كبير من حملات التصيد الاحتيالي إلى موظفي شركات العملات الرقمية. يستهدفون في الغالب الأشخاص الذين يعملون في إدارة الأنظمة أو تطوير البرمجيات/عمليات تكنولوجيا المعلومات (DevOps).

الرسائل التي يرسلها هؤلاء القراصنة هي في الغالب تنبيهات توظيف تقدم وظائف ذات رواتب مرتفعة. من خلال هذه الإغراءات، يحفزون هؤلاء الموظفين على تحميل تطبيقات عملات رقمية محملة بالبرمجيات الخبيثة، والتي تُسمى من قبل الحكومة “TraderTraitor”. تتضمن حملات TraderTraitor مواقع ويب ذات تصميم حديث للإعلان.

أثناء إدراج جون تشانغ هيك في قائمة الأكثر طلبًا لدى مكتب التحقيقات الفيدرالي، ربطت الوكالة جرائم مشابهة باسمه، قائلة إنه يُزعم أنه شارك مباشرةً في “تطوير ونشر تطبيقات عملات رقمية خبيثة تستهدف العديد من بورصات العملات الرقمية وشركات أخرى”.

بالنسبة لكيم إيل، تضمن الجرم المزعوم “سرقات سيبرانية من مؤسسات مالية” وعميلة احتيال ICO لسلسلة Marine.

تم بدء عملية احتيال ICO لسلسلة Marine من قبل ثلاثة عملاء في جهاز الاستخبارات الكوري الشمالي. كان ذلك مخططًا خبيثًا لجمع الأموال بشكل احتيالي خلال ذروة طفرة ICO في عام 2018 عندما تم جمع ما يقرب من 12 مليار دولار من قبل المشاريع.

قدمت Marine Chain نفسها كـ “سوق استثمار بحري عالمي من الجيل التالي مدعوم بتقنية البلوك تشين”. وعدت بأن مالكي السفن يمكنهم تحويل جزء من ملكية سفنهم إلى رموز وبيع هذه العملات الجزئية للأفراد والمؤسسات. أطلقوا عليها اسم Vessel Token Offerings، والتي وعدوا بإجرائها على شبكة إيثريوم.

كان كيم إيل وجون تشانغ هيك، إلى جانب بارك جين هيك – جميعهم من كوريا الشمالية – مؤسسين لعملية Marine ICO. أخفوا حقيقة أنهم أعضاء في جهاز الاستخبارات العسكرية الكوري الشمالي، مكتب الاستطلاع العام (RGB). استخدموا أسماء مستعارة وحوّلوا كل سنت جمعوه في الـ ICO إلى كوريا الشمالية، متجنبين العقوبات الأمريكية. تم اتهام الثلاثة بسرقة ما قيمته 1.3 مليار دولار عبر العديد من مخططات الابتزاز والهجمات السيبرانية.

ماذا سيحدث؟

بينما تستمر وكالات التحقيق الأمريكية في اكتشاف وتتبع الاختراقات ومحاولات الابتزاز بانتظام، يظل كل من كيم إيل وجون تشانغ هيك على قائمة الأكثر طلبًا لدى مكتب التحقيقات الفيدرالي. تم إصدار مذكرات توقيف. ومع ذلك، أكدت CISA في بيانها أن “هؤلاء الفاعلين من المرجح أن يواصلوا استغلال ثغرات شركات تكنولوجيا العملات الرقمية، وشركات الألعاب، والبورصات لتوليد وغسل الأموال لدعم نظام كوريا الشمالية”.