الأصول الرقمية
قراصنة كوريا الشمالية يواصلون الهجوم على الأصول الرقمية
أضف Securities.io إلى مصادرك المفضلة على Google
في حين أن القراصنة الدوليون الإيرانيون نفذوا هجمات فدية وتعدين عملات مشفرة، وتُفهم أن روسيا تستخدم مجموعات فدية خاصة في بعض القدرات، فإن الحكومة الكورية الشمالية هي الخصم الرئيسي الوحيد الذي يضم الجريمة الإلكترونية المالية في أنشطتها الهجومية كهدف أساسي.
برنامج الجريمة الإلكترونية في كوريا الشمالية متعدد الجوانب، حيث تتراوح أساليبه من سرقات البنوك إلى نشر برامج الفدية إلى سرقة العملات المشفرة من البورصات الإلكترونية.
المعروفين بأسماء لازاروس، كيمسكي، وبيجل بويز، يستخدم قراصنة كوريا الشمالية أدوات متزايدة التعقيد لاختراق شبكات عسكرية وحكومية وشركات وصناعات الدفاع حول العالم، ويجرون تجسسًا إلكترونيًا ويستخرجون بيانات سرية للمساعدة في تطوير أسلحة كوريا الشمالية.
خدع الفاعلون الخبيثون الأفراد لتوفير الوصول أو اختراق الأمان لسرقة الأموال الرقمية من المحافظ المتصلة بالإنترنت إلى عناوين تسيطر عليها كوريا الشمالية. وقد لجأت الدولة المتعرضة للعقوبات إلى طرق معقدة لغسل العملات المشفرة المسروقة، معتمدة بشكل أكبر على أدوات برمجية تجمع وتخلط العملات المشفرة من آلاف العناوين.
في العام الماضي، وجهت وزارة العدل الأمريكية تهمًا إلى ثلاثة مبرمجين من كوريا الشمالية بالمشاركة في مؤامرة إجرامية واسعة النطاق لتنفيذ سلسلة من الهجمات الإلكترونية المدمرة لسرقة واختطاف أكثر من 1.3 مليار دولار من الأموال والعملات المشفرة من المؤسسات المالية والشركات، وإنشاء ونشر تطبيقات عملات مشفرة خبيثة متعددة، وتطوير وتسويق منصة بلوكتشين بشكل احتيالي.
في الواقع، هجوم كوريا الشمالية على العملات المشفرة مستمر، حيث جمعت أكثر من مليار منذ آخر سوق صعودي.
$1.2 مليار مسروقة منذ 2017
في الأسبوع الماضي، نشرت الخدمة الوطنية للمعلومات في كوريا الجنوبية (NIS) تقريرًا جديدًا يشير إلى أن قراصنة كوريا الشمالية سرقوا ما يقدر بـ 1.5 تريليون وون (1.2 مليار دولار) من العملات المشفرة خلال السنوات الخمس الماضية. وأكثر من نصف هذا المبلغ تم سرقته هذا العام فقط، بينما جاء مبلغ 78 مليون دولار فقط من هذه القاعدة الضخمة من كوريا الجنوبية.
وفقًا لوكالة التجسس الكورية الجنوبية، تم سرقة أكثر من 800 مليار وون كوري (620 مليون دولار) من العملات المشفرة هذا العام فقط. وقال المتحدث باسم NIS إن هذا الاختراق الكامل حدث في الخارج، مضيفًا: “في كوريا، تم تحويل معاملات الأصول الافتراضية إلى معاملات بأسماء حقيقية، وتم تعزيز الأمان، لذا لا توجد أضرار.”
لمن لا يعرفون هذا التطور، في عام 2021، نفذت الحكومة الكورية الجنوبية قواعد جديدة حول معرفة العميل (KYC) لتداول العملات المشفرة. وتلزم جميع البورصات في البلاد عملاءها بإنشاء حساب باسم حقيقي مع البنك نفسه الذي يستخدمونه لإيداع أو سحب أموالهم.
كما يُطلب من كل من البورصة والبنك التحقق من هوية العميل. علاوة على ذلك، يجب على البورصات الحصول على ترخيص من لجنة الخدمات المالية (FSC) قبل بدء العمليات.
تم ربط مجموعات القراصنة الكوريين الشماليين بعدة خروقات كبرى للعملات المشفرة هذا العام — بما في ذلك هجوم هارموني بقيمة 100 مليون دولار. يقترح الخبراء أن هذه الهجمات وسيلة للدولة لتوليد احتياطات عملات أجنبية، نظرًا لفرض عقوبات تجارية صارمة من المجتمع الدولي.
وفقًا لـ NIS، تمتلك كوريا الشمالية بعضًا من أفضل قدرات سرقة الأصول الرقمية في العالم. ويرجع ذلك إلى تركيز البلاد على الجريمة الإلكترونية منذ عام 2017 عندما شددت العقوبات الاقتصادية للأمم المتحدة ردًا على اختبارات الصواريخ والنووية.
حذرت الوكالة أيضًا من أن هجمات القراصنة الكوريين الشماليين ستشتد العام المقبل: “من الضروري تحليل الهجمات بقدر ما يتم تحليل الدفاعات. لأن منظمة قرصنة واحدة تمتلك جميع معلومات الهجوم ولا تنساها. من الضروري جمع المعلومات المتعلقة بالشفرة الخبيثة التي ي散散ها مختلف المهاجمين لاستخلاص رؤى ذات معنى.”
يستخدم القراصنة من كوريا الشمالية الأساليب المعتادة التي تستخدمها مجموعات القرصنة التابعة للدول الأخرى والمجرمين السيبرانيين، بما في ذلك الهندسة الاجتماعية، التصيد الاحتيالي، واستغلال الثغرات البرمجية.
اختبار طرق جديدة لتسليم البرمجيات الخبيثة
من المعروف أن مجموعة BlueNoroff الفرعية من لازاروس تنشر ترسانة متنوعة من البرمجيات الخبيثة في هجمات متعددة الجوانب ضد الشركات للحصول على أموال بطرق غير شرعية. وتشمل مزيجًا من أساليب التصيد المتطورة والبرمجيات الخبيثة لغسل الأموال.
وفقًا لتقرير مختبر الأمن السيبراني كاسبرسكي تقرير هذا الأسبوع، جددت BlueNoroff استهدافها لشركات رأس المال المخاطر، والشركات الناشئة في مجال العملات المشفرة، والبنوك بعد أن كانت هادئة معظم العام. الآن تُظهر المجموعة زيادة في النشاط.
أنشأت BlueNoroff أكثر من 70 نطاقًا مزيفًا صُممت لتبدو كأنها شركات رأس مال مخاطر. معظم هذه النطاقات تزعم أنها شركات يابانية معروفة، بينما تبنت أخرى هوية شركات أمريكية وفيتنامية.
وفقًا لتقرير حديث، قامت المجموعة بتجربة أنواع ملفات جديدة وطرق أخرى لتسليم البرمجيات الخبيثة. بمجرد تفعيلها، يمكن لبرمجياتها الخبيثة تجاوز تحذيرات أمان Windows Mark-of-the-Web (MoTW) المتعلقة بتنزيل المحتوى. ثم تقوم “باعتراض تحويلات عملات مشفرة كبيرة، وتغيير عنوان المستلم، ودفع مبلغ التحويل إلى الحد الأقصى، مما يؤدي إلى إفراغ الحساب في معاملة واحدة.”
مع تفاقم التهديدات السيبرانية، يجب على الشركات أن تكون أكثر يقظة من أي وقت مضى لحماية نفسها. هذا وفقًا لسونغسو بارك، باحث في كاسبرسكي، الذي يحذر من أن “السنة القادمة ستميز بأوبئة سيبرانية ذات تأثير كبير، وقوتها لم يُرَ مثلها من قبل.”
تم ربط المشغلين المرتبطين بمجموعة لازاروس الفرعية BlueNoroff بعدة هجمات إلكترونية تستهدف الشركات الصغيرة إلى المتوسطة الحجم حول العالم. حتى الرموز غير القابلة للاستبدال (NFT) ليست خارج رادار مجموعة القراصنة، حيث حاول الفاعلون التهديديون الكوريون الشماليون المرتبطون بمجموعة لازاروس سرقة الرموز غير القابلة للاستبدال خلال الأسابيع القليلة الماضية.
سرقات NFT عبر التصيد الاحتيالي
أصدرت شركة أمان البلوكشين SlowMist تقريرًا في أواخر الأسبوع الماضي غاص في الأنشطة الضخمة للتصيد الاحتيالي التي نفذتها مجموعات APT الكورية الشمالية المستهدفة لمستخدمي NFT.
وجدت SlowMist أن إحدى التقنيات المستخدمة في هجوم تصيد حديث شمل إنشاء مواقع وهمية متعلقة بـ NFT مع عمليات سك (Mint) خبيثة. ثم تم بيع هذه الـ NFT على منصات شهيرة مثل OpenSea وRarible وX2Y2.
تم تحديد مجموعة التهديد المستمر المتقدم (APT) باسم TraderTraitor من قبل الحكومة الأمريكية على الأقل منذ عام 2020، وقد استهدفت مستخدمي العملات المشفرة وNFT بحملة تصيد استخدمت ما يصل إلى 500 اسم نطاق مختلف.
تضمنت السمات الفريدة للتصيد التي يستخدمها هؤلاء القراصنة مواقع تصيد تسجل بيانات الزوار وتحفظها في مواقع خارجية، وتطلب قائمة أسعار عناصر NFT، وملف “imgSrc.js” يربط الصور بالمشروع المستهدف.
عند تحليل طرق التصيد، وجدت SlowMist أيضًا أن القراصنة استخدموا عدة رموز، مثل WETH وUSDC وDAI وUNI، وغيرها، في هجماتهم التصيدية.
أكبر هجوم على Ronin
في وقت سابق من هذا العام، نجحت مجموعة لازاروس أيضًا في سحب أكثر من 600 مليون دولار من العملات المشفرة من بلوكشين Ronin المستخدم في لعبة NFT Axie Infinity. وصفت شركة تحليلات البلوكشين Chainalysis هذا الهجوم بأنه أكبر اختراق للعملات المشفرة حتى الآن.
تم إنشاء Axie Infinity بواسطة استوديو ألعاب فيتنامي، وقد كان لديها أكثر من مليون لاعب نشط في مرحلة ما. وفي وقت سابق من هذا العام، تم اقتحام البلوكشين الذي يدعم العالم الافتراضي للعبة من قبل شبكة قرصنة كورية شمالية، التي سرقت ما يقرب من 620 مليون دولار من إيثيريوم.
تم استعادة حوالي 30 مليون دولار فقط من الغنائم المشفرة بعد أن تتبع تحالف من وكالات إنفاذ القانون وشركات تحليل العملات المشفرة بعض الأموال المسروقة عبر سلسلة من منصات التداول اللامركزية (DEXs) و”مخلطات العملات المشفرة”، وهي خدمة تمزج عملات مشفرة لعدة مستخدمين معًا لإخفاء مالكيها وأصولها.
قامت الولايات المتحدة منذ ذلك الحين بفرض عقوبات على مخلط Tornado Cash، الذي صرحت وزارة الخزانة الأمريكية أنه استُخدم من قبل القراصنة لغسل أكثر من 450 مليون دولار من حصتهم من الإيثيريوم.
الشركات الناشئة للاستثمار في العملات المشفرة مستهدفة أيضًا
وسط كل هذه الهجمات، أعلنت مايكروسوفت في وقت سابق من هذا الشهر أنها حددت فاعل تهديد يستهدف الشركات الناشئة للاستثمار في العملات المشفرة. المجموعة، التي أطلقت مايكروسوفت عليها اسم DEV-0139، تتنكر كشركة استثمار في العملات المشفرة على تيليجرام وتستخدم ملف إكسل مسلحًا لإصابة الأنظمة التي تصل إليها عن بُعد.
أظهر التهديد مستوى عالٍ من التعقيد حيث زوّر نفسه بملفات تعريف مزيفة لموظفي OKX وانضم إلى مجموعات تيليجرام “المستخدمة لتسهيل التواصل بين العملاء المميزين ومنصات تبادل العملات المشفرة”، وفقًا لما كتبته مايكروسوفت.
نلاحظ زيادة في الهجمات المتقنة حيث يكون فاعل التهديد على دراية كبيرة وقد قضى وقتًا في التحضير، غالبًا من خلال بناء الثقة مع هدفه قبل نشر الحمولات، كما أُشير إلى ذلك.
على سبيل المثال، قبل بضعة أشهر، تم دعوة هدف للانضمام إلى مجموعة وطُلب منه تقديم ملاحظات على مستند إكسل يقارن هياكل الرسوم الخاصة بالعملاء المميزين في بورصات العملات المشفرة HTX وBinance وOKX. قدم المستند معلومات دقيقة ووعيًا عاليًا بتداول العملات المشفرة، لكنه أيضًا قام بتحميل ملف .dll (مكتبة ربط ديناميكية) خبيث بشكل غير مرئي لإنشاء باب خلفي في نظام المستخدم. ثم طُلب من الهدف فتح الملف الخبيث بنفسه أثناء المناقشة.
اقترحت مايكروسوفت أن DEV-0139 هو نفس الفاعل الذي ربطته شركة الأمن السيبراني Volexity بمجموعة لازاروس، باستخدام نسخة من برنامج AppleJeus الخبيث ومثبت مايكروسوفت (MSI).
في عام 2021، تم توثيق AppleJeus من قبل وكالة الأمن السيبراني والبنية التحتية الأمريكية.
ارتفاع مستمر في هجمات العملات المشفرة
في الواقع، شهدت حجم هجمات العملات المشفرة التي تنفذها الحكومة الكورية الشمالية زيادة حديثًا، وفقًا لتقارير Chainalysis.
(MSFT )تم ربط مجموعة لازاروس بسبع هجمات على منصات العملات المشفرة، والتي جنت ما يقرب من 400 مليون دولار من الأصول الرقمية في عام 2021 وحده، مقارنة بـ 300 مليون دولار في عام 2020، وفقًا لتقرير شركة تحليلات البلوكشين.
في أحد أكثر سنواته نجاحًا على السجل، ارتفع عدد الاختراقات المرتبطة بكوريا الشمالية من أربعة إلى سبعة في عام 2021، بينما ارتفعت القيمة المستخرجة من هذه الاختراقات بنسبة 40٪.
وفقًا للتقرير، بمجرد أن حصلت كوريا الشمالية على حيازة الأموال، بدأت فورًا عملية دقيقة لغسل المال من أجل تحويله إلى نقد دون اكتشاف.
على الرغم من أن Chainalysis لم تحدد جميع أهداف اختراقات العملات المشفرة، فقد ذكروا أنها كانت في الغالب شركات استثمارية وبورصات مركزية. علاوة على ذلك، أعلنت إحدى هذه البورصات، Liquid.com، في أغسطس أن مستخدمًا غير مصرح له حصل على وصول إلى بعض محافظها المشفرة.
وفقًا لـ Chainalysis، استخدم المهاجمون طُعمات تصيد، وبرمجيات خبيثة، واستغلالات شفرة، وهندسة اجتماعية متقدمة لسرقة الأموال من “المحافظ الساخنة” لهذه المؤسسات إلى عناوين تسيطر عليها كوريا الشمالية.
أشار التقرير أيضًا إلى أن الباحثين حددوا 170 مليون دولار من الأصول المشفرة القديمة غير المغسولة من 49 اختراقًا منفصلًا تمتد من 2017 إلى 2021، مما يشير إلى خطة مدروسة لصرفها بالكامل، “وليس خطة يائسة ومستعجلة.”
ملاحظة نهائية
من المتوقع أن يواصل القراصنة استغلال ثغرات شركات تكنولوجيا العملات المشفرة، وشركات الألعاب، والبورصات لتوليد وغسل الأموال دعمًا لنظام كوريا الشمالية.
ليس من الضروري القول إن هذه مسألة خطيرة، حيث عُرف عن كوريا الشمالية استخدامها للهجمات الإلكترونية لسرقة الأموال لدعم برنامجها النووي. وهذا يبرز أهمية الأمن السيبراني، خاصةً بالنسبة للشركات والمنظمات التي قد يستهدفها القراصنة المدعومون من الدولة.
في حين أن الحكومة الكورية الشمالية نفت تورطها في مثل هذه الأنشطة، فإن الأدلة تشير إلى أن القراصنة يعملون ببركة النظام. وبالنظر إلى هذا التهديد المستمر الذي يشكله القراصنة الكوريون الشماليون، يجب على الشركات والأفراد البقاء يقظين واتخاذ خطوات لحماية أصولهم الرقمية.
