كشف عمليات مجموعة قرصنة كورية شمالية كبيرة في خرق بيانات مشتبه به

تم كشف مجموعة قرصنة كورية شمالية كبيرة في خرق بيانات مفترض ينطوي على نظامين مخترقين، حيث تعرض عضو في مجموعة Kimsuky APT لخرق بيانات ضخم مشتبه به.

تعرض عضو في مجموعة المخترقين الكورية الشمالية المشتبه بها Kimsuky (تهديد مستمر متقدم) لاختراق بيانات كبير، مما أدى إلى تسرب مئات الجيجابايت من الملفات والأدوات الداخلية.

كشف مجموعة قرصنة كورية شمالية كبيرة في خرق بيانات مشتبه به

وفقاً لباحثي الأمن السيبراني في Slow Mist، تشمل البيانات المسربة لمجموعة Kimsuky سجلات المتصفحات، وسجلات حملات التصيد، ودلائل لاستخدام البرمجيات الخلفية المخصصة، وأنظمة هجومية مثل البرمجية الخلفية kernel TomCat، وملاذات Cobalt Strike المعدلة، وIvanti RootRot، ومتغيرات البرمجيات الخبيثة القائمة على أندرويد مثل Toybox.

تشير التقارير إلى أن خرق البيانات حدث في أوائل يونيو 2025، وتم تتبعه إلى نظامين مخترقين مرتبطين بمشغل من مجموعة Kimsuky يعمل تحت الاسم المستعار "KIM". كان أحدهما محطة عمل لتطوير لينكس تعمل بنظام Deepin 20.9، بينما كان الآخر خادم افتراضي عام (VPS). من المرجح أن النظام Linux كان يعمل كبيئة لتطوير البرمجيات الخبيثة، بينما يستضيف الآخر مواد التصيد عبر البريد الإلكتروني، بما في ذلك بوابات تسجيل الدخول المزيفة وروابط القيادة والتحكم.

المخترقون وراء الاختراق، الذين يسمون أنفسهم "Saber" و "cyb0rg"، يدعون أنهم وصلوا إلى محتويات كل من النظامين وقاموا بنقلها قبل نشرها عبر الإنترنت. بينما تربط بعض المؤشرات "KIM" بالبنية التحتية المعروفة لـ Kimsuky، تشير أدلة لغوية وتقنية أخرى إلى ارتباط صيني محتمل، لذا فإن أصول KIM تظل غير محلولة في الوقت الحالي.

تعمل مجموعة Kimsuky منذ 2012 على الأقل

تمتلك مجموعة Kimsuky روابط مع المكتب العام للاستطلاع في كوريا الشمالية منذ ظهورها لأول مرة في عام 2012. تخصصت المجموعة منذ فترة طويلة في التجسس السيبراني الذي يستهدف الحكومات، ومراكز الأبحاث، ومقاولي الدفاع، والأكاديميا.

في أوائل عام 2025، استخدمت حملات Kimsuky مثل DEEP#DRIVE سلاسل اختراق متعددة المراحل تبدأ بملفات مضغوطة ZIP تحتوي على ملفات اختصار Windows (LNK) مقنعة كوثائق. عند فتح الضحايا لهذه الملفات، تقوم ملفات LLN بتشغيل أوامر PowerShell لاسترداد البرامج الضارة من خدمات مثل Dropbox، مستخدمةً وثائق خادعة لتبدو شرعية وتجنب الكشف.

أدخلت حملات Kimsuky في مارس وأبريل 2025 أكواد VBScript وPowerShell مشوشة مضمنة في أرشيفات ZIP خبيثة. تجمع هذه السكريبتات الأوامر بشكل خفي، وتنشر برمجيات خبيثة لجمع ضغطات المفاتيح، والتقاط بيانات الحافظة، وسرقة مفاتيح محافظ العملات المشفرة من المتصفحات، بما في ذلك Chrome وEdge وFirefox وNaver Whale.

انتقلت بعض العمليات إلى استخدام ملفات LLN خبيثة مقترنة بـ VBScript التي تستدعي mshta.exe لتنفيذ برمجيات خبيثة قائمة على DLL الانعكاسية مباشرة في الذاكرة.

في نفس الفترة تقريباً، بدأت Kimsuky في نشر وحدات RDP Wrapper مخصصة وبرمجيات خبيثة للوكيل لتمكين الوصول عن بعد بشكل خفي. تم استخدام مسروقات المعلومات مثل forceCopy لجمع بيانات الاعتماد من ملفات تكوين المتصفح دون إثارة تنبيهات الوصول القياسية لكلمة المرور.

أساءت المجموعة أيضاً استخدام خدمات السحابة واستضافة الكود الشائعة. في حملة تصيد متعمد في يونيو 2025 استهدفت كوريا الجنوبية، تم استخدام مستودعات GitHub الخاصة لتخزين البرامج الضارة والبيانات المسروقة. قدمت هذه الحملات حمولات مثل XenoRAT بينما استخدمت Dropbox كمنصة مؤقتة للملفات المسروقة. سمح الاستخدام المزدوج للمنصات الموثوقة لكل من التسليم والنقل لـ Kimsuky بإخفاء نشاطها الخبيث داخل حركة مرور الشبكة المشروعة.