في هجوم إلكتروني متطور، أنشأت مجموعة فرعية من منظمة القرصنة الكورية الشمالية سيئة السمعة Lazarus شركات وهمية متعددة - بما في ذلك اثنتان مقرهما في الولايات المتحدة - لجذب المطورين غير المنتبهين من خلال مقابلات عمل وهمية ودمج البرامج الضارة في مستودعات البرامج مفتوحة المصدر.

ويمثل هذا التكتيك الجديد تصعيدًا كبيرًا في حملة Lazarus المستمرة للتسلل إلى قطاعي التشفير والويب 3 العالميين واستغلالهما.

شركات أمريكية وهمية كواجهات للهجوم

اكتشف باحثون أمنيون في شركة سايلنت بوش أن عملاء سيبرانيين من كوريا الشمالية، مرتبطين بمجموعة لازاروس سيئة السمعة، قاموا بتأسيس شركتين على الأقل - Blocknovas LLC في نيو مكسيكو وSoftglide LLC في نيويورك - باستخدام هويات وعناوين مزيفة.

تظاهرت هذه الشركات بأنها شركات استشارات تشفير شرعية، ونشرت فرص العمل على منصات مثل LinkedIn وUpwork وCryptoJobsList لجذب المطورين.

كما استخدم المتسللون صورًا تم إنشاؤها بواسطة الذكاء الاصطناعي لإنشاء ملفات تعريف للموظفين في شركات التشفير الثلاث وسرقة صور لأشخاص حقيقيين.

هناك العديد من الموظفين المزيفين والصور المسروقة من أشخاص حقيقيين تُستخدم عبر هذه الشبكة. لقد وثّقنا بعض الصور المزيفة والمسروقة الواضحة، ولكن من المهم جدًا إدراك أن جهود انتحال الشخصية في هذه الحملة مختلفة.

أثناء عملية المقابلة، يطلب المهاجمون من المرشحين تنزيل ملفات أو النقر على روابط، والتي في الواقع تنقل برامج ضارة مصممة لسرقة بيانات الاعتماد ومفاتيح محفظة العملات المشفرة والبيانات الحساسة.

كجزء من هذه الحيلة، كانت تظهر رسالة خطأ عند محاولة المرشح تسجيل فيديو تعريفي. وكان الحل المقترح هو نسخ ولصق جزء من الكود البرمجي، وهي خدعة تؤدي في النهاية إلى تثبيت برمجيات خبيثة في حال اكتمالها.

وبحسب شركة الأمن السيبراني Silent Push، يتم حاليًا نشر ثلاثة سلالات مميزة من البرامج الضارة - BeaverTail وInvisibleFerret وOtter Cookie - بشكل نشط كجزء من هذه الحملة.

كانت شركة Blocknovas هي الأكثر نشاطًا من بين الشركات المزيفة، وقد استولى مكتب التحقيقات الفيدرالي منذ ذلك الحين على نطاقها بعد التأكد من أنه كان يُستخدم لتوزيع البرامج الضارة تحت ستار توظيف الوظائف.

تُعدّ هذه العملية، التي أُطلق عليها اسم "المقابلة المُعدية"، جزءًا من جهود لازاروس الأوسع لاختراق قطاع العملات المشفرة واستغلاله. ولتعزيز مصداقيتها، استخدم المهاجمون ملفات تعريف الموظفين المُولّدة بالذكاء الاصطناعي وبنى تحتية مُصنّعة للشركات.

لم يقتصر تأثير البرمجيات الخبيثة على اختراق المحافظ الفردية فحسب، بل مكنت أيضًا من تنفيذ هجمات لاحقة على الشركات من خلال جمع كلمات المرور وبيانات الاعتماد الحساسة.

هجمات سلسلة التوريد عبر GitHub وNPM

وإلى جانب تكتيكات الهندسة الاجتماعية، كثفت Lazarus جهودها من خلال استهداف سلاسل توريد البرمجيات، وحقن JavaScript الخبيث في مستودعات GitHub وحزم NPM - وهي أدوات أساسية يستخدمها على نطاق واسع مطورو التشفير وWeb3.

تم تصميم أحد أنواع البرامج الضارة، Marstech1، باستخدام تقنيات التعتيم والتحليل المتطورة للتهرب من الاكتشاف.

بمجرد تثبيته، يقوم بالبحث عن محافظ شائعة مثل MetaMask وExodus وAtomic، واستخراج المفاتيح الخاصة وتعديل إعدادات المتصفح لاعتراض معاملات العملات المشفرة.

وأكدت شركة SecurityScorecard وجود 233 ضحية على الأقل على مستوى العالم، محذرة من أن الخطر قد يمتد إلى ملايين الأشخاص إذا تم دمج البرامج الضارة في مشاريع برمجيات مستخدمة على نطاق واسع.

وقد اتخذ مكتب التحقيقات الفيدرالي إجراءات لتعطيل هذه العمليات، واستولى على نطاقات مثل Blocknovas وأصدر تحذيرات بشأن التهديد المستمر والمتطور الذي يشكله الجهات الفاعلة السيبرانية الكورية الشمالية.

وأكد الخبراء أن هذه الحملات لا تمول نظام بيونج يانج فحسب، بل تشكل أيضًا خطرًا كبيرًا ومتزايدًا على أمن واستقرار النظام البيئي العالمي للعملات المشفرة.