مجموعة Lazarus القرصانية تستخدم إعلانات LinkedIn لاستهداف الضحايا

تستخدم مجموعة Lazarus القرصانية، وهي حلقة إجرامية إلكترونية مقرها كوريا الشمالية، إعلانات LinkedIn لاستهداف مستخدمي العملات المشفرة.

ووفقاً لتقرير حديث، تستهدف المجموعة مواهب العملات المشفرة والبلوكتشين من خلال نشر إعلانات تتعلق بوظائف متعلقة بالعملات المشفرة. بمجرد تفعيلها، يشغل الإعلان كود ماكرو ضار على جهاز الضحية.

مجموعة Lazarus القرصانية تهاجم عبر LinkedIn

ووفقاً لتقرير شركة الأمن السيبراني F-Secure، تم الهجوم الأحدث من قبل Lazarus من خلال إعلان متعلق بالعملات المشفرة على الموقع الإلكتروني. كشف التقرير أن شخصاً واحداً يعمل في مجال البلوكتشين تلقى الإعلان. كان الإعلان يحاكي قائمة وظائف بلوكتشين شرعية وشمل مستند Microsoft Word بعنوان "BlockVerify Group Job Description".

احتوى المستند على كود ضار تم تنفيذه عندما تفاعل المستخدم مع مستند Word.

الكود الضار

اكتشفت F-Secure أن مستنداً بنفس العنوان والمؤلف وعدد الكلمات كان مدرجاً بالفعل على VirusTotal كتهديد لأمن المعلومات. كشفت إحصائيات VirusTotal أن الكود أبلغ عنه لأول مرة في عام 2019 وتم اكتشافه عبر 37 محركاً مختلفاً لمكافحة الفيروسات.

يسرق الكود بيانات اعتماد تسجيل الدخول المخزنة على الجهاز ويسعى للوصول إلى شبكة النظام. بهذه الطريقة، ينتشر الكود عبر الجهاز حتى يجمع بيانات كافية لسرقة عملات المستخدم المشفرة.

تكتيكات كوريا الشمالية

وأوضحت F-Secure أيضاً أن إجراءات مجموعة Lazarus القرصانية تتماشى مع مصالح حكومة كوريا الشمالية. من المرجح أن تستهدف جمهورية كوريا الشعبية الديمقراطية (DPRK) الشركات والمنظمات في قطاعات خارج نظام البلوكتشين. ووفقاً لـ تقرير صادر عن الجيش الأمريكي، تمتلك كوريا الشمالية جيشاً مكوناً من 6000 قرصان موزعين عبر عدة دول، بما في ذلك الصين والهند وروسيا.