قراصنة من كوريا الشمالية ينشئون شركات أمريكية وهمية لإغراء مطوري العملات المشفرة بالوقوع في فخاخ البرامج الضارة

قراصنة من كوريا الشمالية ينشئون شركات أمريكية لاستهداف مطوري العملات المشفرة

كشفت شركة الأمن السيبراني "سايلنت بوش" أن قراصنة من كوريا الشمالية مرتبطين بمجموعة لازاروس أنشأوا بهدوء شركتين في الولايات المتحدة كجزء من حملة للتسلل إلى قطاع العملات المشفرة.

تم تسجيل الشركتين BlockNovas LLC وSoftGlide LLC في نيو مكسيكو ونيويورك على التوالي، وعملتا كواجهات لتسليم البرامج الضارة للمطورين غير المطلعين في صناعة التشفير.

شركات وهمية وتهديدات حقيقية وراء واجهات الشركات

باستخدام هويات مزورة وعناوين وهمية، نجح المهاجمون في خلق وهم بوجود شركات شرعية مقرها الولايات المتحدة.

يقول باحثو منظمة Silent Push إن العملية كانت بقيادة مجموعة فرعية داخل Lazarus تُعرف باسم "Contagious Interview".

أنشأت المجموعة شركة وهمية ثالثة تدعى Angeloper Agency، والتي لم تكن مسجلة في الولايات المتحدة ولكنها كانت مرتبطة بنفس جهود توزيع البرامج الضارة.

وما يجعل هذه القضية مثيرة للقلق بشكل خاص هو أن هذه الكيانات لم تكن مجرد واجهات لمواقع ويب - بل تم دمجها رسميًا باستخدام بيانات ملفقة، مع فرق وهمية كاملة تم بناؤها باستخدام ملفات تعريف الموظفين التي تم إنشاؤها بواسطة الذكاء الاصطناعي.

المصدر: الدفع الصامت

"محمد دمير" شخصيةٌ مُختلقةٌ أُنشئت على لينكدإن، وقد أدرجت خبرته العملية اثنتين من الشركات الوهمية، مما أضفى طابعًا من الشرعية على العملية. (المصدر: سايلنت بوتش)

كيف انتشر البرمجيات الخبيثة عبر فخاخ مقابلات العمل

اعتمدت الحملة بشكل كبير على تكتيكات المقابلات الوظيفية الاحتيالية.

تم إغراء المطورين الباحثين عن أدوار في مجال التشفير بعروض عمل وهمية من هذه الشركات الوهمية.

وبمجرد إنشاء الاتصال، تم إرسال البرامج الضارة تحت ستار المواد المرتبطة بالوظيفة.

وكان الهدف هو سرقة بيانات اعتماد المحفظة والبيانات الحساسة التي قد تسمح بشن هجمات متابعة على منصات التشفير.

وقد ربطت حملة Silent Push نطاقات مثل `blocknovas[.]com`، و`apply-blocknovas[.]site`، و`lianxinxiao[.]com` بالعملية، مما يشير إلى وجود شبكة من البنية الأساسية المنسقة المصممة لمحاكاة مواقع التوظيف المشروعة.

المصدر: الدفع الصامت

المصدر: الدفع الصامت

دليل مألوف بنتائج بمليارات الدولارات

وتتوافق هذه الحملة الأخيرة مع النمط الذي شوهد في الخروقات البارزة السابقة.

تشتهر مجموعة لازاروس باستهداف الأفراد من خلال إغراءات التوظيف الوهمية.

في عام 2021، تم استخدام استراتيجية مماثلة للتسلل إلى Sky Mavis، مما أدى إلى اختراق Ronin Bridge بقيمة 625 مليون دولار.

في عام 2022، أدت عملية خداع وظيفية أخرى إلى سرقة 100 مليون دولار من جسر Horizon Bridge التابع لشركة Harmony.

منذ عام 2017، سرقت العمليات المرتبطة بـ Lazarus أكثر من 3 مليارات دولار من العملات المشفرة، وفقًا لتقديرات الأمم المتحدة وشركة تحليلات blockchain Chainalysis.

وأصبحت هذه الحملات بمثابة الأسلوب المفضل للوحدات الإلكترونية التي ترعاها الدولة في كوريا الشمالية.

كيف تم تسجيل هذه الشركات دون اكتشافها؟

استخدم المهاجمون تفاصيل شخصية مزورة وصور ملفات تعريفية مزيفة لتسجيل الشركات وإنشاء مواقع الويب الخاصة بالشركات.

وفقًا لكيسي بيست، مدير استخبارات التهديدات في شركة Silent Push،

"يعد هذا مثالاً نادرًا على نجاح قراصنة من كوريا الشمالية في إنشاء كيانات قانونية في الولايات المتحدة بهدف إنشاء واجهات شركات تُستخدم لمهاجمة المتقدمين للوظائف دون علمهم."

إن حجم وطموح هذه العملية يسلط الضوء على التكتيكات المتطورة التي تستخدمها وحدات الأمن السيبراني في كوريا الشمالية للبقاء في صدارة الكشف والتدقيق التنظيمي، والاستفادة من مصداقية التأسيس في الولايات المتحدة لكسب ثقة المتخصصين في التشفير في جميع أنحاء العالم.