كتب: إسلام السقا
أعلنت السلطات الكورية الجنوبية و أربع شركات أمنية عن حملة رعايتها دولة تهدف إلى اختراق مواقع إلكترونية موثوقة داخل البلاد. قام المهاجمون باستخدام هذه المواقع لاستغلال برامج أمنية مالية مثبتة محليًا، مما أدى إلى إصابة الزوار المستهدفين ببرامج خبيثة معروفة باسم SIGNBT أو COPPERHEDGE.
استغلال الثغرات الأمنية
يمكن أن تعرض صفحة مخترقة أنظمة المستخدمين المتمركزة على إصدارات معينة من برنامج AnySign4PC للخطر دون الحاجة إلى تنبيه المستخدم أو تحميل مرتبط. وقد حذرت وكالة الإنترنت والأمن الكورية (KISA) من أن الإصدارات من 1.1.4.4 حتى 1.1.4.6 متأثرة، بينما أدرجت الإصدار 1.1.5.0 كإصدار معالج. يُوصى بمسح النسخ المعرضة للخطر.
الدلالات على الهجمات المستهدفة
أشارت شركة أهنلاب إلى أنها اكتشفت دلالات على هجمات مشابهة على 72 مؤسسة في عام 2026. وقد تم استخدام 15 موقعًا شرعيًا كموارد للمهاجمين. كما وجدت التقارير تداخلًا بين هذه الهجمات وهجمات انتهت برانسوم وير Gunra، حيث اتضح أن كلا الحالتين استخدمتا نفس الثغرة الأولية.
أساليب المهاجمين
أظهرت أهنلاب أن المهاجمين أرسلوا رسائل تصيد مُروّسة كالسير الذاتية وعروض التوظيف وأخرى تتعلق بالاستثمار. استهدفت الهجمات أيضًا مواقع إخبارية، صحية، تعليمية، وتصنيعية ضعيفة الأمان والتي قد يزورها الفريسة المستهدفة.
التفصيل الفني للهجمات
تم تحديد برنامج AnySign4PC كأحد المنتجات المعرضة للخطر من قبل شركة ENKI Whitehat، التي أكدت أن المهاجمين استغلوا ثغرة من نوع zero-day. استُخدمت سلسلة هجمات تتضمن أربع صور PNG لتبادل المفاتيح، والتحقق من إصدار البرنامج المثبت، وتقديم شيفرات استغلال محددة بالإصدار.
الأدوات والتقنيات المستخدمة
استخدم المهاجمون أساليب متقدمة لتركيب برمجيات خبيثة مثل Struggle و Brandoor، مما يسمح لهم بتنفيذ أوامر عن بعد، وسرقة الملفات، والتجسس داخليًا. كما نجحوا في حقن الشيفرات في عمليات مشروعة لشركة مايكروسوفت، مما يبرز مدى تأثير الهجوم.
استجابة الجهات الأمنية
قامت الوكالات الأمنية والهيئات الحكومية بتبادل المعلومات بعد تحليل الهجمات مع عدة شركات متخصصة في الأمن السيبراني. لا تزال التقارير تشير إلى استمرار مثل هذه الهجمات المدعومة من دول، مما يطرح تساؤلات بشأن الأمان الالكتروني في المؤسسات المحلية.
إجراءات الرقابة والتحليل
بينما يستمر فحص الأدلة، تقدم التقارير توصيات بشأن البحث عن عمليات تحميل DLL مشبوهة، وتسجيلات بيانات مشفرة، وتنفيذ PE في الذاكرة. كما لوحظ فقدان الأدلة من خلال إجراءات مضادة للتتبع.
الدور المحتمل للمجموعات المدعومة حكوميًا
بالرغم من أن التقارير لم توضح هوية المجموعة المدعومة من الدولة، إلا أنه تم الإشارة إلى أن بعض الهجمات السابقة تحمل إشارات إلى مجموعة Lazarus الشهيرة، واستُخدمت فيها تقنيات مشابهة.
يمكنك قراءة المزيد في المصدر.
لمزيد من التفاصيل اضغط هنا.