قرصنة كوريا الشمالية تستهدف الباحثين عن وظائف في العملات الرقمية ببرمجيات خبيثة

استهدف قرصنة كوريا الشمالية، Famous Chollima، خبراء العملات الرقمية من خلال مقابلات عمل وهمية مصممة لسرقة بياناتهم ونشر برمجيات خبيثة على أجهزتهم. سرقت البرمجيات الخبيثة بيانات الاعتماد من أكثر من 80 ملحقاً للمتصفح، بما في ذلك مديري كلمات المرور ومحافظ العملات الرقمية مثل Metamask و1Password وNordPass وPhantom وBitski وInitia وTronLink وMultiverseX.

في يوم الأربعاء، ذكرت شركة أبحاث استخبارات التهديدات سي إس سيو تالوس في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل. أن مجموعة "فاموس تشوليمّا" انتحرت لشركات شرعية ووجهت الضحايا غير المدركين إلى مواقع ويب لاختبار المهارات حيث أدخل الضحايا تفاصيل شخصية وأجابوا على أسئلة تقنية.

كانت مواقع اختبار المهارات تقدم نفسها بشكل كاذب كشركات حقيقية مثل Coinbase, أركبلوك، روبنهود، بارالل ستوديو، يونيسواب، وغيرها، مما ساعد في استهداف الضحايا. 

تأثر عدد قليل من المستخدمين، غالبيتهم في الهند، بناءً على استخبارات المصادر المفتوحة. نصح ديليب كومار إتش في، المدير في ديجيتال ساوث بيليف، بأن تتخذ الهند تدابير إلزامية لإدراج تدقيقات الأمن السيبراني للشركات البلوك تشين ومراقبة بوابات الوظائف المزيفة للرد على هذه الاحتيالات. كما دعا إلى تنسيق عالمي أقوى للجرائم السيبرانية عبر الحدود وحملات التوعية الرقمية.

تالوس تتابع عملية الاحتيال وتؤكد وجود صلة بكوريا الشمالية

🚨 𝗧𝗔𝗡𝗦𝗜𝗛𝗜𝗥: 𝗵𝗮𝗰𝗸𝗲𝗿𝘀 𝗼𝗳 𝗡𝗼𝗿𝘁𝗵 𝗞𝗼𝗿𝗲𝗮 𝗮𝗿𝗲 𝘁𝗮𝗿𝗴𝗲𝘁𝗶𝗻𝗴 𝗯𝗹𝗼𝗰𝗸𝗰𝗵𝗮𝗶𝗻 𝗽𝗿𝗼𝗳𝗲𝘀𝘀𝗶𝗼𝗻𝗮𝗹𝘀 𝘄𝗶𝘁𝗵 𝗻𝗲𝘄 𝗶𝗻𝗳𝗼-𝘀𝘁𝗲𝗮𝗹𝗶𝗻𝗴 𝗺𝗮𝗹𝘄𝗮𝗿𝗲

𝗗𝗶𝘀𝗴𝘂𝗶𝘀𝗲𝗱 𝗮𝘀 𝗳𝗮𝗸𝗲 𝗰𝗿𝘆𝗽𝘁𝗼 𝗷𝗼𝗯 𝘀𝗶𝘁𝗲𝘀 — 𝗯𝗲 𝗰𝗮𝗿𝗲𝗳𝘂𝗹… pic.twitter.com/wt4pe5o1Zg

— Mayank Dudeja || SPYONGEMS (@imcryptofreak) June 20, 2025

زعمت شركة أبحاث الأمن السيبراني سي إس سيو تالوس أن الفايروس الدخيل للوصول عن بعد الجديد المسمى "بايلانغغوست" (PylangGhost) المرتبط ببرمجيات خبيثة مرتبط بجماعة قرصنة تابعة لكوريا الشمالية تُدعى "فاموس تشوليمّا"، والمعروفة أيضاً باسم "واغيمول".

كما كشفت الشركة أن البرمجية الخبيثة بايلانغغوست كانت تكافئ وظيفياً فايروس غولانغغوست (GolangGhost) السابق توثيقه، حيث تشترك في العديد من القدرات نفسها. استخدمت مجموعة فاموس تشوليمّا النسخة القائمة على بايثون لاستهداف أنظمة ويندوز، بينما استهدفت النسخة القائمة على غولانغ مستخدمي ماك أو إس. تم استبعاد أنظمة لينكس من هذه الهجمات الأخيرة.

وفقاً لتالوس، كانت مجموعة الفاعل للتهديد نشطة منذ عام 2024 من خلال عدة حملات موثقة جيداً. شملت هذه الحملات استخدام متغيرات من برنامج  

تم توجيه المرشحين في المخطط الأحدث الذي تم كشفه في مايو لتمكين الوصول إلى الكاميرا لمقابلة فيديو وتم تحفيزهم لنسخ وتنفيذ أوامر خبيثة متخفية كتركيبات برامج تشغيل الفيديو. وهكذا، انتهى بهم الأمر باستخدام بايلانغغوست في أجهزتهم. بدأت التنفيذ مع الملف "nvidia.py"، الذي قام بعدة مهام: أنشأ قيمة سجل لتشغيل فايروس الوصول عن بعد في كل مرة يسجل فيها المستخدم الدخول إلى النظام، وأنشأ معرّف دليل عالمي (GUID) للنظام لاستخدامه في الاتصال بخادم الأوامر والتحكم (C2)، وتواصل مع خادم C2، ودخل حلقة الأوامر للتواصل مع الخادم.

وفقاً لسي إس سيو تالوس، "تختلف تعليمات تنزيل الإصلاح المزعوم بناءً على بصمة المتصفح، كما تُعطى بلغة shell المناسبة لنظام التشغيل: باورشل أو موجه الأوامر لويندوز، و bash لماك أو إس."

لاحظ Talos أن قرصنة Famous Chollima ركزت مؤخراً، بخلاف سرقة الأموال مباشرة من البورصات، على المتخصصين في العملات الرقمية لجمع المعلومات واختراق شركات العملات الرقمية من الداخل في بعض الأحيان. في وقت سابق من هذا العام، أنشأ قرصنة كوريا الشمالية شركات أمريكية وهمية، BlockNovas LLC وSoftGlide LLC، لتوزيع البرمجيات الخبيثة من خلال مقابلات عمل احتيالية قبل أن تستولي FBI على نطاق BlockNovas.

كوريا الشمالية تبرز كمركز للمخططات القرصنة المشهورة

في ديسمبر 2024، اختراق راديانت كابيتال بقيمة 50 مليون دولار بـ عندما تم انتحال هوية الممثلين كمتعاقدين سابقين وإرسال ملفات PDF محملة ببرمجيات خبيثة للمهندسين. شارك المنتحل ملف مضغوط تحت ذريعة طلب ملاحظات حول مشروع جديد كانوا يعملون عليه.

أكدت أيضاً بيان مشترك من اليابان وكوريا الجنوبية والولايات المتحدة أن المجموعات المدعومة من كوريا الشمالية، بما في ذلك لازاروس، سرقت ما لا يقل عن 659 مليون دولار من خلال عدة هجمات على العملات المشفرة في عام 2024. لاحظ المبعوثون أن العمال الكوريين الشماليين في الخارج، بما في ذلك المتخصصون في تكنولوجيا المعلومات المشاركين في "أنشطة سيبرانية خبيثة"، كانوا عاملاً رئيسياً في قدرة النظام على تمويل برامج أسلحته من خلال سرقة الأموال وغسلها، بما في ذلك العملات المشفرة.

Chainalysis أكدت نائبة التحقيقات إيرين بلانت أن القرصنة المرتبطة بكوريا الشمالية كانت الأكثر إنتاجية بين قرصنة العملات المشفرة على الإطلاق في السنوات القليلة الماضية. في عام 2022، حطموا سجلاتهم الخاصة بالسرقة، وسرقوا ما يقدر بنحو 1.7 مليار دولار من العملات المشفرة عبر عدة هجمات، مقارنة بـ 428.8 مليون دولار في عام 2021.

ومع ذلك، في مايو، تبادل العملات المشفرة كريكن (Kraken) كشف أنه تمكنت من تحديد ومحاولة منع عامل كوري شمالي كان قد تقدم بطلب لمنصب في تكنولوجيا المعلومات. التقطت كراكن المتقدم عندما فشل في اختبارات التحقق الأساسية من الهوية أثناء المقابلات.