حذر مانديانت من أن مجموعة التجسس الكورية الشمالية APT43 ، المسماة حديثًا ، تقوم بسرقة عملة معماة على نطاق واسع لتمويل عملياتها.
قامت الشركة رسميًا بـ "تخريج" الجهات الفاعلة التي تمثل تهديدًا لمجموعة محددة ، بعد أن لاحظت نشاطها منذ عام 2018.
يعني التخرج أن مانديانت واثقة بما فيه الكفاية في تقييمها لربط الأنشطة التي تلاحظها بمجموعة محددة من الممثلين ، و APT43 هو "أول تخرج رسمي لنا منذ إعلان مانديانت عن APT42 في سبتمبر 2022 ،"قالت الشركة .
فيتقرير جديد ، يعطي Mandiant الإسناد الذي أقنعه بتخرج APT43.
وكتبت الشركة: "نحن نقدر بثقة عالية أن APT43 هي مشغل إلكتروني ترعاه الدولة ويعمل في دعم الأهداف الجيوسياسية الأوسع للحكومة الكورية الشمالية".
وقال مانديانت إن هدف APT43 هو استخدام الجريمة الإلكترونية لتمويل قدرتها على إجراء التجسس وجمع المعلومات الإستراتيجية.
"عملياتهم الأكثر مشاهدة هي حملات التصيد بالرمح المدعومة بالمجالات وعناوين البريد الإلكتروني المخادعة كجزء من تكتيكات الهندسة الاجتماعية الخاصة بهم. وقال التقرير إن المجالات التي تتنكر على أنها مواقع شرعية تستخدم في عمليات جمع بيانات الاعتماد.
وهي تهاجم في الغالب أهدافا في كوريا الجنوبية والولايات المتحدة الأمريكية.
في بودكاست نُشر جنبًا إلى جنب مع التقرير ، أوضح مايكل بارنهارت المتخصص في عمليات كوريا الديمقراطية في Mandiant أن برنامج APT43 "الخبز والزبدة" يحصل على معلومات حول الاستجابات الدولية لبرنامج الأسلحة في كوريا الشمالية.
وقال: "هذه مجموعة تهتم فقط بالأسلحة النووية والسياسة الخارجية".
بينما تهاجم أهداف الحكومة والأعمال والتصنيع ، فإن الأهداف الأكثر أهمية هي منظمات مثل التعليم أو البحث أو مجموعات التفكير التي تركز على السياسة الجيوسياسية والنووية.
استشهد مانديانت بحالة جيني تاون ، مديرة نشرة استخباراتية تركز على كوريا الشمالية 38 نورث ، والتي انتحلت APT43 صفتها للتعرف على الأهداف المحتملة في مجتمع المحللين.
جرائم العملة المشفرة
مصدرها الرئيسي لتمويل التجسس هو سرقة وغسيل العملات المشفرة. وقال مانديانت السرقة تعتمد على جمع أوراق الاعتماد.
على سبيل المثال ، أنشأت تطبيق Android ضارًا لاستهداف "المستخدمين الصينيين على الأرجح" الذين يسعون للحصول على قروض بالعملات المشفرة.
أوضح مانديانت أن "التطبيق والمجال المرتبط به قد حصدوا بيانات الاعتماد".
كما أنه يستخدم مجموعة متنوعة من متغيرات البرامج الضارة.
وذكر التقرير أن أشهر نشاط لها يعتمد على LATEOP ، "باب خلفي يعتمد على البرامج النصية VisualBasic" ، ولكن شوهدت المجموعة تستخدم h0st RAT و QUASARRAT و AMADE.
لقد طورت بعض الأدوات متعددة المنصات الخاصة بها ، بما في ذلك واحدة يطلق عليها اسم PENCILDOWN ، وهو متغير Android من برنامج تنزيل Windows.
وأوضح التقرير أن "العملة المشفرة القذرة" سهلة الغسل: تستخدم APT43 الأموال المسروقة لشراء خدمات تأجير التجزئة والتعدين السحابي ، مما ينتج عنه عملة مشفرة غير مرتبطة بمدفوعات APT43 الأصلية.