قرصنة Konni الكورية الشمالية تستهدف مهندسي البلوكشين ببرمجيات خبيثة مبنية بالذكاء الاصطناعي

تستهدف مجموعة القرصنة الكورية الشمالية Konni الآن مهندسي البلوكشين ببرمجيات خبيثة تم إنشاؤها بالذكاء الاصطناعي. ووفقاً للتقارير، تقوم مجموعة القرصنة الآن بنشر البرمجيات الخبيثة PowerShell المولدة بالذكاء الاصطناعي، باستخدامها لاستهداف المطورين والمهندسين في صناعة البلوكشين.

يُعتقد أن مجموعة القرصنة الكورية الشمالية كانت تعمل منذ عام 2014 على الأقل وترتبط بعناقيد نشاط APT37 وKimusky. استهدفت المجموعة منظمات منتشرة عبر كوريا الجنوبية وأوكرانيا وروسيا وعدة دول أوروبية أخرى. ووفقاً لعينة التهليل التي حللها باحثو CheckPoint، فإن الحملة الأخيرة للمجموعة الكورية الشمالية تستهدف منطقة آسيا والمحيط الهادئ.

مجموعة Konni الكورية الشمالية تنشر برمجيات خبيثة مولدة بالذكاء الاصطناعي

في التقرير، زعم الباحثون أن البرمجيات الخبيثة تم تقديمها من قبل مستخدمين وجدوها في اليابان والهند وأستراليا. يبدأ الهجوم عندما يتلقى الضحية رابط Discord يسلم أركي ZIP يحتوي على طُعم PDF وملف اختصار LNK ضار. يشغل ملف LNK محمّل PowerShell مدمج يستخرج مستند DOCX وأركي CAB يحتوي على بوابة خلفية PowerShell، وملفين دفعة، وقابل تنفيذ لتجاوز UAC.

بعد تشغيل ملف الاختصار، يفتح مستند DOCX وينفذ ملف دفعة مدرج في ملف الكابينة. يظهر مستند الطعم DOCX أن القرصان يريد اختراق بيئة التطوير، مما قد يمنحهم وصولاً إلى أصول حساسة، بما في ذلك البنية التحتية، وبيانات اعتماد واجهة برمجة التطبيقات (API)، والوصول إلى المحفظة، وأخيراً holdings الأصول الرقمية. ينشئ ملف الدفعة الأول دليل مؤقت للبوابة الخلفية وملف الدفعة الثاني.

بالإضافة إلى ذلك، ينشئ أيضاً مهمة مجدولة كل ساعة تحاكي مهمة بدء تشغيل OneDrive. تقرأ المهمة نصاً برمجياً PowerShell مشفراً باستخدام XOR من القرص وتفك تشفيره للتنفيذ في الذاكرة. بعد إكمال جميع هذه الخطوات، تقوم بحذف نفسها لمسح جميع علامات العدوى. تخفي البوابة الخلفية PowerShell أصلها بشدة باستخدام ترميز السلسلة القائم على الحسابات، وإعادة بناء السلسلة في وقت التشغيل، وتنفيذ المنطق النهائي باستخدام "Invoked-Expression".

ووفقاً للباحثين، يشير البرمجيات الخبيثة PowerShell إلى وجود تطوير بمساعدة الذكاء الاصطناعي بدلاً من البرمجيات الخبيثة المكتوبة تقليدياً. تشمل الأدلة التي تظهر ذلك التوثيق الواضح والمنظم في أعلى النص البرمجي، وهو أمر غير معتاد جداً لتطوير البرمجيات الخبيثة. بالإضافة إلى ذلك، لديها تخطيط نظيف وقطعي، ووجود تعليق "# <– your permanent project UUID" في الملف. لاحظ CheckPoint أن هذا الصياغة تظهر علامات على كود تم إنشاؤه بواسطة نموذج لغوي كبير (LLM) من قبل القرصنة الكورية الشمالية.

يقدم باحثو CheckPoint تفاصيل حول البرمجيات الخبيثة

شرح الباحثون أن الصياغة تظهر أيضاً أن النموذج يوجه مستخدمًا بشريًا حول كيفية تخصيص قيمة الحقل النائب. قالوا إن مثل هذه التعليقات شائعة في النصوص البرمجية والبرامج التعليمية المولدة بالذكاء الاصطناعي. قبل التنفيذ، تقوم البرمجيات الخبيثة بفحص الأجهزة والبرمجيات ونشاط المستخدم للتأكد من أنها لا تعمل في بيئات التحليل. بمجرد تحديد ذلك، تقوم بإنشاء معرف مضيف فريد. بعد ذلك، تتبع مساراً محدداً من الإجراءات.

بمجرد تفعيل البوابة الخلفية وتشغيلها بالكامل على الجهاز المصاب، تتصل البرمجيات الخبيثة بخادم الأوامر والتحكم (C2) بشكل دوري لإرسال بيانات تعريف المضيف وتستفسر عن الخادم بفترات عشوائية. إذا احتوى C2 على كود PowerShell، فإنه يتحول إلى كتلة نصية وينفذ أنشطته باستخدام الوظائف الخلفية. لاحظ CheckPoint أنه يمكن نسب هذه الهجمات إلى فاعل التهديد الكوري الشمالي Konni بناءً على تنسيق المشغل السابق واسم الطُعم.

بالإضافة إلى ذلك، زعم الباحثون أنه بالإضافة إلى تداخل اسم النص البرمجي نفسه، هناك عناصر مشتركة أخرى في هيكل سلسلة التنفيذ مع الهجمات السابقة. كما نشر الباحثون مؤشرات اختراق مرتبطة بهذه الحملة الأخيرة لمساعدة المدافعين على التعرف على متى تم مهاجمتهم من قبل الحملة الكورية الشمالية Konni حتى يتمكنوا من حماية أصولهم.