BlueNoroff يفحص محافظ العملات الرقمية في مكالمات Zoom مزيفة قبل نشر البرمجيات الخبيثة
- وجدت شركة الأمن JUMPSEC أن ملفيات BlueNoroff التابعة لكوريا الشمالية تقوم بتحديد ملفات محافظ العملات المشفرة في مكالمات Zoom وTeams المزيفة، ثم تصيب بشكل انتقائي الأهداف ذات القيمة العالية على نظامي Windows وmacOS.
- استهدفت الحملة أكثر من 100 ضحية في أكثر من 20 دولة، حيث تمثل الولايات المتحدة 41% منها، وكان 45% من الأهداف هم مؤسسين أو مدراء تنفيذيين.
- BlueNoroff، وهي مجموعة فرعية تابعة لمجموعة Lazarus، تواصل تحديث أدوات التصيد الخاصة بها؛ فقد عدّت JUMPSEC أربعة متغيرات لنظام macOS فقط بين 22 أبريل و15 يوليو.
فريق اختراق من كوريا الشمالية يفحص محافظ العملات المشفرة قبل أن يضرب. يخدع المجموعة الضحايا لدخول مكالمات مزيفة على Zoom وMicrosoft Teams.
أصدرت شركة الأمان البريطانية JUMPSEC تحليل الكود المصدري هذا الأسبوع. تستهدف عملية BlueNoroff الأشخاص الذين يحملون المفاتيح الخاصة. كل ما يحتاجونه هو أن يضغط شخص واحد على الإجراء الخاطئ.
يقوم BlueNoroff بفحص محافظ العملات المشفرة قبل اختيار من سيصاب بالبرمجيات الخبيثة
تمكنت JUMPSEC من استرداد الكود المصدري الحقيقي للمجموعة بعد أن ترك المشغلون خرائط المصدر (source maps) الخاصة بـ JavaScript مكشوفة على البنية التحتية الحية.
تصف الملفات سير عمل يقوم بفحص متصفح الهدف بمجرد وصوله إلى صفحة الاجتماع المزيفة. وجدت JUMPSEC أن المجموعة تبحث عن اتصالات Ethereum باستخدام معيار EIP-6963 وتقنيات المتصفح التقليدية.
كما تستكشف المحافظ غير التابعة لـ EVM مثل أدوات Solana. يتم دفع النتائج مباشرة إلى لوحة تحكم المشغل. ولا يتلقى الشخص الموجود في المكالمة أي مطالبة أو تحذير.
يحتوي البرمجيات الخبيثة على أجهزة Windows على قائمة بمعرفات امتدادات المتصفح لـ Chrome وEdge وBrave وOpera وVivaldi وFirefox. يستخدم المهاجمون بعد ذلك هذه المعرفات للتحقق مقابل امتدادات المحافظ المعروفة مثل MetaMask.
يمكن للمهاجمين فحص كل محفظة، والقرار بشأن المحافظ التي تستحق اختراقاً كاملاً، ثم إرسال حمولات استهداف إلى تلك الأهداف. يعتمد الطُعم على الثقة الموجودة مسبقاً للضحية في شخص آخر.
يستحوذ المهاجمون على حساب Telegram لجهة اتصال متعلقة بالعملات المشفرة ويرسلون دعوة Calendly مقنعة إلى نطاق اجتماع مزيف. يؤدي كل حساب مختلس إلى جهات اتصال العملات المشفرة الخاصة بتلك الجهة، الذين يصبحون جولة الأهداف التالية.
بمجرد بدء مكالمة الفيديو، تطلب الصفحة اسماً وصوتاً للوصول إلى الكاميرا. ثم ترسل بث الكاميرا إلى لوحة المهاجم في الخلفية.
يرى الضحايا بعد ذلك شاشة تقول "في انتظار المشاركين الآخرين". ثم يشغل المشغل فيديو مسجلاً مسبقاً ويقول للضحية: "ميكروفونك لا يعمل". بعد ذلك، تظهر رسالة مزيفة بعنوان "تحديث SDK Zoom".
الوجه في المكالمة ليس حقيقياً، وفقاً لـ JUMPSEC. يقوم المهاجمون بدمج صور رأسية مولدة بالذكاء الاصطناعي على حركات الجسم التي تم التقاطها في اجتماعات سابقة.
تتضمن صفحة اجتماع Teams المزيفة تفاعلات بالرموز التعبيرية، وإعدادات الجهاز، وتأثيرات الخلفية، ومسح المحفظة. كما وجد JUMPSEC نسخة غير مكتملة من Google Meet داخل الكود المكشوف.
كل نظام تشغيل له حمولات برمجية خبيثة مخصصة
على نظام Windows، يشغل أمر ClickFix المنسوخ محمّل PowerShell صغيراً يقوم بتنزيل ملف VBScript. ثم يضيف استثناءً في Microsoft Defender ويعيد تشغيل Defender لجعل التغيير دائماً.
تجمع الحمولة البرمجية معلومات النظام وتبحث عن ملحقات المحافظ في المتصفحات. كما تبحث عن ملفات Telegram Web. ويمكنها استقبال حمولات برمجية لاحقة لم يستطع الباحثون استردادها تماماً.
يسقط القراصنة مثبت Zoom أو Teams مزيفاً على نظام macOS بينما يعمل مسروق البيانات بصمت. يسرق بيانات النظام ومفاتيح Chrome الرئيسية من Keychain الخاص بـ Apple ويرسلها عبر Telegram.
وجد باحثو الأمان أربعة إصدارات من نظام macOS بين 22 أبريل و15 يوليو. وعثرت Arctic Wolf وJUMPSEC على خمسة إصدارات من مجموعات التصيد تم شحنها بين 31 مايو و14 يوليو، مع اختراق كامل في أقل من خمس دقائق.
حددت أبحاث Arctic Wolf أكثر من 100 ضحية في أكثر من 20 دولة، بما في ذلك 41% في الولايات المتحدة. في أبريل، سجلت Arctic Wolf أكثر من 80 نطاقاً للاجتماعات تم تسجيله عن طريق الخطأ (typosquatted) منذ أواخر عام 2025.
حوالي 80% من المستهدفين يعملون في مجال التمويل المشفر أو البلوك تشين، و45% هم مؤسسون أو مديرون تنفيذيون. يتوافق توقيت الهجمات أيضاً مع ساعات العمل في كوريا الشمالية.
BlueNoroff هو مجموعة فرعية من مجموعة Lazarus. كان قد أبلغ Cryptopolitan سابقاً أن Lazarus استهدف البنوك وشركات العملات المشفرة باستخدام حصان طروادة RemotePE الخالي من الملفات، مستخدماً طُعمين متشابهين هما Telegram وجداول المواعيد المزيفة.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
الأسئلة الشائعة
من وراء هجمات زوم وتيمز المزيفة؟
الجهة المسؤولة هي BlueNoroff، وهي مجموعة فرعية ذات دوافع مالية تابعة لمجموعة Lazarus الكورية الشمالية. تربط الباحثون هذه المجموعة بالعديد من سرقات العملات المشفرة الموجهة لتمويل الدولة الكورية الشمالية.
كيف تسرق الهجمات العملات الرقمية؟
تقوم صفحة الاجتماع المزيفة بفحص المتصفح الخاص بالضحية بحثاً عن المحافظ أولاً. ثم يقوم المشغل بتشغيل مطالبة تحديث برامج مزيفة تنفذ أمر ClickFix، مما يؤدي إلى تثبيت برنامج ضار يسرق بيانات اعتماد المحافظ، وبيانات النظام، وملفات Telegram على نظامي Windows أو macOS.
كم عدد الأشخاص الذين استهدفوا؟
حددت Arctic Wolf أكثر من 100 ضحية في أكثر من 20 دولة، حيث تمثل الولايات المتحدة 41% منها. عمل حوالي 80% منهم في مجال العملات المشفرة أو التمويل القائم على تقنية البلوك تشين، وكان 45% منهم مؤسسين أو مدراء تنفيذيين.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تُجرى بناءً على المعلومات الواردة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
راندا موسى
رندا موسى محررة وصحفية في كريبتوبوليتان تغطي التكنولوجيا والذكاء الاصطناعي والروبوتات والعملات الرقمية والاحتيال والاختراقات. عملت في مجال العملات الرقمية منذ عام 2017. شغلت مناصب في Forward Protocol وAmaZix وCryptosomniac. وتحمل رندا درجة البكالوريوس في الهندسة الكهربائية والإلكترونيات من جامعة برادفورد.
