قراصنة من كوريا الشمالية يستهدفون محترفي العملات المشفرة في الهند باستخدام مقابلات عمل وهمية وبرامج ضارة

قراصنة من كوريا الشمالية يستهدفون الباحثين عن عمل في مجال العملات المشفرة في الهند ببرامج ضارة

كانت مجموعة القرصنة الكورية الشمالية الأقل شهرة، Famous Chollima، تستهدف بشكل عدواني المتقدمين للوظائف في قطاع العملات المشفرة والبلوكشين في الهند.

على عكس مجموعة لازاروس سيئة السمعة، يستخدم هذا الفصيل تكتيكات التصيد الاحتيالي البدائية ولكن الفعالة لخداع المرشحين لتثبيت البرامج الضارة على أجهزة الكمبيوتر الخاصة بهم.

وتتركز الحملة، التي بدأت منتصف عام 2024، على إعلانات الوظائف المزيفة واختبارات المهارات الاحتيالية المصممة لإصابة الضحايا ببرامج ضارة تسمى PylangGhost.

كيف تؤدي عروض العمل المزيفة إلى الإصابة بالبرامج الضارة

تعمل شركة Chollima الشهيرة من خلال إنشاء مواقع توظيف مزيفة تنتحل صفة شركات تشفير معروفة مثل Coinbase و Uniswap و Robinhood.

تجذب قوائم الوظائف المزيفة المحترفين ذوي الخبرة في تقنيات blockchain والعملات المشفرة للتقديم.

بعد ملء التفاصيل والمشاركة في المقابلات المصورة المفترضة، يُطلب من المتقدمين نسخ ولصق الأوامر تحت ستار تثبيت برامج تشغيل الفيديو.

كانت الأسئلة التي وزعها المتسللون تتعلق بوظيفة غير شرعية لمدير تطوير أعمال، وقُدّمت زورًا على أنها فرصة عمل في روبن هود. (المصدر:سيسكو تالوس )

وبدلاً من ذلك، تقوم هذه الأوامر بتنزيل البرامج الضارة التي تتيح للمتسللين الوصول الكامل إلى أجهزة الضحايا.

يستهدف هذا البرنامج الخبيث المعلومات الحساسة بما في ذلك بيانات اعتماد تسجيل الدخول وبيانات المتصفح وملحقات محفظة العملات المشفرة مثل MetaMask وPhantom.

بالنسبة لمستخدمي Windows، يقدم الموقع تعليمات لنسخ ولصق وتنفيذ أمر ضار متنكر في شكل تثبيت برنامج تشغيل فيديو، مع مجموعة منفصلة من التعليمات المقدمة أيضًا لنظام macOS. (المصدر:سيسكو تالوس )

سلط باحثو شركة Cisco Talos الضوء على استخدام طريقة تسمى "ClickFix"، والتي تستغل غرائز حل المشكلات البشرية من خلال مطالبة المستخدمين بإصلاح رسائل الخطأ المزيفة، مما يؤدي في النهاية إلى تنفيذ تعليمات برمجية ضارة.

كيف تختلف فرقة تشوليما الشهيرة عن فرقة لازاروس؟

على الرغم من أن كلتا المجموعتين نشأتا في كوريا الشمالية وتعملان في مجال التشفير، إلا أن نهج Famous Chollima أقل تطوراً بشكل ملحوظ.

وأشارت شركة سيسكو تالوس إلى أن إعلانات الوظائف المزيفة تفتقر إلى العلامة التجارية الأصلية وغالبًا ما تتضمن أسئلة غير ذات صلة، مما يثير الشكوك.

مثال على إعلانات الوظائف المزيفة. (المصدر:سيسكو تالوس )

في المقابل، تشتهر مجموعة Lazarus بهجماتها الإلكترونية المنسقة والمتقدمة للغاية، بما في ذلك سرقات العملات المشفرة على نطاق واسع.

كشفت BitMEX مؤخرًا أن Lazarus يستخدم نظام فريق من مستويين: مجموعة ذات مهارات أقل لاختراق الأمان الأولي وفريق ذو مهارات أعلى لتنفيذ السرقات.

من الممكن أن تتبع العمليات السيبرانية لكوريا الشمالية هيكلًا مشابهًا عبر مجموعات مختلفة، لكن التكتيكات الأكثر بساطة لمجموعة "فيموس تشوليما" تشير إلى جهود في مرحلة مبكرة أو انتهازية.

هل هذه الهجمات مقدمة لمخططات تشفيرية كورية شمالية أكبر؟

لا تزال النية الحقيقية وراء حملة تشوليما الشهيرة غير مؤكدة.

ورغم أن الهجمات قد تمثل سرقات صغيرة النطاق، إلا أن الخبراء يحذرون من أنها قد تكون بمثابة استطلاع لمحاكاة الباحثين عن عمل بشكل أفضل أو الحصول على وصول مستمر إلى شركات التشفير.

وتعزز الحوادث السابقة هذا القلق - ففي أواخر عام 2024، تكبدت شركة راديانت كابيتال خسارة قدرها 50 مليون دولار بعد أن قام قراصنة من كوريا الشمالية بإصابة أجهزة الموظفين من خلال برامج ضارة متخفية في شكل تقرير أحد المقاولين.

استهدف قراصنة كوريا الشمالية منذ فترة طويلة محترفي العملات المشفرة، وخاصة أولئك الذين يستخدمون أجهزة Apple، التي تحظى بشعبية في الصناعة.

وتشير التقارير إلى أن الحكومة تستفيد مالياً من المواطنين العاملين في الخارج ومن خلال سرقات العملات المشفرة التي تتيحها مثل هذه التسللات.

ماذا يجب على الباحثين عن عمل في مجال العملات المشفرة أن يفعلوا لحماية أنفسهم؟

تسلط الحملة المستمرة الضوء على المخاطر التي يواجهها الباحثون عن عمل في صناعة التشفير سريعة النمو.

ويوصي الخبراء بفحص بوابات التوظيف بعناية، وتجنب تشغيل أسطر أوامر غير مألوفة، واستخدام تدابير أمنية قوية مثل المصادقة متعددة العوامل وحماية نقاط النهاية.

يعد مراقبة ملحقات المتصفح أمرًا بالغ الأهمية، حيث تستهدف البرامج الضارة مثل PylangGhost بشكل نشط محافظ العملات المشفرة ومديري بيانات الاعتماد.

هل هذه مجرد بداية لعصر جديد من التهديدات السيبرانية؟

ويشير صعود مجموعات مثل Famous Chollima إلى أن العمليات السيبرانية لكوريا الشمالية أصبحت أكثر تنوعًا وتتجاوز الهجمات البارزة التي شنتها مجموعة Lazarus.

ورغم أن أساليبهم قد تبدو بدائية، فإن تركيزهم على محترفي التشفير قد يمهد الطريق لتكتيكات تسلل أكثر تطوراً في المستقبل.

ومع قيام الباحثين عن عمل بتوفير أبواب خلفية إلى الشركات التي تعمل بتقنية البلوك تشين عن غير قصد، فإن الخط الفاصل بين التوظيف والتجسس أصبح غير واضح بشكل خطير.

ويتطلب التهديد المتطور اليقظة ليس فقط من جانب الأفراد، بل من جانب الصناعة ككل، حيث يقوم المهاجمون باستكشاف نقاط الضعف الجديدة من خلال القوى العاملة ذاتها التي من المفترض أن تبنيها.