قراصنة كوريا الشمالية يخفون الآن برمجيات سرقة العملات المشفرة باستخدام blockchain

يستخدم القراصنة الكوريون الشماليون الآن طريقة تعتمد على blockchain تُعرف باسم EtherHiding لتسليم برمجيات خبيحة لتسهيل عمليات سرقة العملات المشفرة الخاصة بهم. وفقاً للخبراء، اكتُشف قراصنة كوريون شماليون يستخدمون هذه الطريقة، حيث يقوم المهاجمون بتضمين أكواد مثل حمولات JavaScript داخل عقد ذكي قائم على blockchain.

باستخدام هذه الطريقة، يحول القراصنة دفتر الأستاذ اللامركزي إلى أمر وتحكم (C2) مرن. وفقاً لمقال مدون منشور من قبل مجموعة استخبارات التهديدات في جوجل (GTIG)، هذه هي المرة الأولى التي يلاحظون فيها فاعلاً بهذا الحجم يستخدم هذه الطريقة. زعمت أن استخدام EtherHiding مريح في مواجهة جهود الإزالة والحظر التقليدية. ذكرت مجموعة استخبارات التهديدات أنها تتعقب فاعل التهديد UNC5342 منذ فبراير 2025، ودمجت EtherHiding في حملة هندسة اجتماعية مستمرة.

القراصنة الكوريون الشماليون يتحولون إلى EtherHiding

ذكرت جوجل أنها ربطت استخدام EtherHiding بحملة هندسة اجتماعية تتعقبها باولو ألتو نيتوركس باسم Contagious Interview. نفذت هذه الحملة جهات فاعلة من كوريا الشمالية. وفقاً لباحثي Socket، وسعت المجموعة عملياتها بملف تحميل برمجيات خبيثة جديد يُدعى XORIndex. تراكم هذا الملف التحميل آلاف التنزيلات، وكانت الأهداف هي الباحثين عن عمل والأفراد الذين يُعتقد أنهم يملكون أصولاً رقمية أو بيانات اعتماد حساسة.

في هذه الحملة، يستخدم القراصنة الكوريون الشماليون hackers برمجية JADESNOW لتوزيع نسخة من INVISIBLEFERRET تعتمد على JavaScript، والتي استُخدمت في العديد من سرقات العملات الرقمية. تستهدف الحملة المطورين العاملين في قطاع العملات الرقمية والتكنولوجيا، حيث تسرق البيانات الحساسة والأصول الرقمية وتكتسب وصولاً إلى الشبكات المؤسسية. كما تعتمد الحملة على تكتيك هندسة اجتماعية يحاكي عمليات التوظيف الشرعية باستخدام متعهدين مزيفين وشركات وهمية.

يتم استخدام متظاهرين بالتوظيف لإغراء المرشحين بالانتقال إلى منصات مثل Telegram أو Discord. بعد ذلك، يتم تسليم البرمجيات الخبيحة إلى أنظمتهم وأجهزتهم من خلال اختبارات برمجة مزيفة أو تنزيلات برامج متخفية كاختبارات تقنية أو إصلاحات للمقابلة. تستخدم الحملة عملية عدوى برمجيات خبيحة متعددة المراحل، والتي تتضمن عادةً برمجيات مثل JADESNOW وINVISIBLEFERRET وBEAVERTAIL لاختراق أجهزة الضحية. تؤثر البرمجيات الخبيحة على أنظمة Windows وLinux وmacOS.

يوضح الباحثون سلبيات EtherHiding

يوفر EtherHiding ميزة أفضل للمهاجمين، مع ملاحظة GTIG أنه يمثل تهديداً صعباً بشكل خاص للتخفيف من حدته. أحد العناصر الأساسية في EtherHiding المثير للقلق هو أنه لامركزي بطبيعته. هذا يعني أنه مخزن على blockchain غير مرخص ولا مركزي، مما يجعل من الصعب على إنفاذ القانون أو شركات الأمن السيبراني إسقاطه لأنه لا يحتوي على خادم مركزي. كما يصعب تتبع هوية المهاجم بسبب الطبيعة الكاذبة للمعاملات على blockchain.

من الصعب أيضاً إزالة الكود الضار في العقود الذكية المنفذة على blockchain إذا لم تكن مالك العقد. يمكن للمهاجم الذي يتحكم في العقد الذكي، وفي هذه الحالة القراصنة الكوريون الشماليون، أن يختاروا تحديث الحمولة الضارة في أي وقت. بينما قد يحاول باحثو الأمن تحذير المجتمع من عقد ضار عن طريق وضع علامة عليه، إلا أن ذلك لا يمنع القراصنة من مواصلة أنشطتهم الضارة باستخدام العقد الذكي.

بالإضافة إلى ذلك، يمكن للمهاجمين استرداد حمولتهم الضارة باستخدام مكالمات للقراءة فقط لا تترك سجلاً مرئياً للمعاملات على blockchain، مما يجعل من الصعب على الباحثين تتبع أنشطتهم على blockchain. وفقاً لتقرير أبحاث التهديدات، يمثل EtherHiding «انتقالاً نحو استضافة من الدرجة التالية مقاومة للرصاص» حيث يتم استخدام أبرز ميزات تقنية blockchain من قبل المحتالين لأغراض ضارة.