أحدث الأخبار مع #«لازاروس»
النهار المصرية
٠١-٠٥-٢٠٢٥
- النهار المصرية
هجمات سيبرانية تقودها مجموعة «لازاروس» تستهدف سلاسل التوريد في كوريا الجنوبية
كشف فريق الأبحاث والتحليلات العالمي (GReAT) لدى كاسبرسكي عن حملة جديدة ومتطورة تشنها مجموعة «لازاروس»، تجمع الحملة بين استخدام «هجوم حفرة الري» واستغلال ثغرات أمنية في برمجيات من طرف ثالث لاستهداف مؤسسات في كوريا الجنوبية. واكتشف الخبراء خلال البحث «ثغرة يوم الصفر» في برنامج Innorix Agent الكوري المستخدم على نطاق واسع، وسرعان ما عولجت على الفور. وجاء الإعلان عن هذه النتائج خلال معرض «جيتكس آسيا»، وهي توضح أنّ مجموعة «لازاروس» تستغل إلمامها العميق بمنظومة البرمجيات في كوريا الجنوبية لتنفيذ هجمات سيبرانية متعددة المراحل. يشير التقرير الجديد الصادر عن فريق الأبحاث والتحليلات العالمي (GReAT) لدى كاسبرسكي إلى استهداف المهاجمين لست مؤسسات في قطاعات حيوية متنوعة في كوريا الجنوبية هي: البرمجيات، وتكنولوجيا المعلومات، والخدمات المالية، وأشباه الموصلات، والاتصالات. وربما يكون العدد الحقيقي للضحايا أعلى بكثير، وقد أطلق باحثو كاسبرسكي على هذه الحملة اسم الثغرة المتزامنة «Operation SyncHole». تمارس مجموعة «لازاروس» أنشطتها منذ عام 2009 تقريباً، فهي تعد من أبرز جهات التهديدات السيبرانية المعروفة بامتلاكها موارد واسعة. وقد لاحظ الخبراء خلال الحملة الأخيرة أنّها استغلت ثغرة في برنامج Innorix Agent، وهو أداة خارجية مدمجة في المتصفح ومستخدمة للنقل الآمن للملفات في الأنظمة الإدارية والمالية. وأتاح استغلال هذه الثغرة للمهاجمين أن ينتقلوا ضمن الشبكة، وينجحوا في تثبيت برمجيات خبيثة إضافية في المضيف المُستهدف. وأفضى ذلك في نهاية المطاف إلى نشر برمجيات لازاروس الخبيثة والشهيرة، مثل ThreatNeedle وLPEClient، فتوسع نطاق انتشارهم وسيطرتهم داخل الشبكات الداخلية. وجاءت عملية الاستغلال ضمن سلسلة أوسع من الهجمات؛ إذ نفذها المهاجمون عبر تنزيل أداة Agamemnon الخبيثة، التي استهدفت إصداراً ضعيف الحماية من Innorix (9.2.18.496). عندما بدأ خبراء GReAT لدى كاسبرسكي تحليل سلوك البرمجية الخبيثة، اكتشفوا كذلك «ثغرة اليوم صفر» التي تتيح تنزيل ملفات عشوائية، وقد نجح الخبراء في اكتشافها قبل أن يستخدمها المهاجمون في هجماتهم السيبرانية. وسارعت كاسبرسكي إلى إبلاغ وكالة الإنترنت والأمن الكورية (KrCERT) والشركة المُصنِّعة عن المشكلات الأمنية في Innorix Agent، وسرعان مع أطلقت إصدارات محدثة من البرنامج لمعالجة الثغرة الأمنية التي خُصصت بالرمز التعريفي: KVE-2025-0014. يقول سوجون ريو، وهو باحث أمني في فريق GReAT لدى كاسبرسكي: «النهج الاستباقي أمر بالغ الأهمية في الأمن السيبراني، وبفضله اكتشف تحليلنا المعمق للبرمجيات الخبيثة ثغرة أمنية غير معروفة سابقاً، وقد كشفناها قبل ظهور أي بوادر على استغلالها. ولا ريب أنّ الاكتشاف المبكر لتهديدات كهذه ضروري للغاية للحيلولة دون اختراق الأنظمة على نطاق واسع». قبل التوصل إلى النتائج الحديثة بشأن INNORIX، كشف خبراء كاسبرسكي عن استخدام نسخة من برمجيتي الباب الخلفي ThreatNeedle وSIGNBT لشن هجمات سيبرانية لاحقة على كوريا الجنوبية. وكانت البرمجية الخبيثة تعمل بخفاء داخل ذاكرة عملية شرعية باسم وقد أنشئت كعملية فرعية لبرنامج Cross EX، وهو برنامج كوري جنوبي يدعم استخدام أدوات الأمان عبر المتصفحات المختلفة. وأشار التحليل المفصل للحملة إلى تمييز وسيلة الهجوم نفسها في خمس مؤسسات أخرى في كوريا الجنوبية. ويبدو أنّ سلاسل الإصابة انطلقت في كل حالة من ثغرة أمنية محتملة في برنامج Cross EX، مما يجعلها منطلق الإصابة في العملية كلها. ويجدر الإشارة إلى التحذير الأمني الحديث الذي نشره KrCERT، والذي يؤكد وجود ثغرة أمنية في Cross EX، وقد عولجت بعد ذلك خلال الفترة الزمنية للبحث. يقول إيغور كوزنتسوف، مدير فريق GReAT لدى كاسبرسكي: «تشير هذه النتائج جميعها إلى مشكلة أمنية أوسع نطاقاً؛ فالإضافات من الطرف الثالث للمتصفحات والأدوات المساعدة تزيد مساحة الهجمات، لا سيما في بيئات تعتمد برامج خاصة بمنطقة جغرافية معينة أو تعتمد برامج قديمة. فهذه المكونات تعمل غالباً بامتيازات محسنة، وتظل داخل الذاكرة، وتتفاعل بعمق مع عمليات المتصفح، وبذلك تكون أهدافاً جذابة وأسهل للاختراق من المتصفحات الحديثة نفسها». كيف انطلقت هجمات SyncHole؟ استفادت مجموعة «لازاروس» من مواقع إلكترونية إعلامية مخترقة يزورها عدد كبير من المستخدمين، واستخدمتها طعماً لتحقيق غايتها، ويعرف هذا الأسلوب باسم «هجمات حفرة الري». وعمل المهاجمون على تصفية حركة البيانات الواردة لتحديد الأفراد المستهدفين، ومن ثم إعادة توجيههم بعناية إلى مواقع إلكترونية يتحكمون بها، وبذلك أطلقت مجموعةٌ من الإجراءات التقنية سلسلةَ الهجوم. وتوضح هذه الطريقة المتبعة الطابع الاستراتيجي الدقيق لعمليات مجموعة لازاروس. مثال على صفحة معاد توجيهها استخدمت في الهجوم يرجى مراجعة الموقع الإلكتروني: لمعرفة معلومات إضافية عن مجموعة لازاروس. كشفت منتجات كاسبرسكي عن البرمجيات الخبيثة والثغرات المستخدمة في هذا الهجوم، وهي إلى ذلك موضحة على النحو الآتي: و و MEM: و MEM: و و و للحماية من هجمات لازاروس وهجمات التهديدات المتقدمة المستمرة الأخرى (APT)، توصي كاسبرسكي بالكشف الدقيق، والاستجابة السريعة للأساليب المعروفة في الهجمات، والمعالجة الفورية للثغرات الأمنية. وتقدم الشركة نصائح إضافية هي: • احرصوا دوماً على تحديث برامج الأجهزة المستخدمة كلها لمنع المهاجمين من استغلال الثغرات الأمنية لاختراق شبكاتكم. • بادروا إلى إجراء تدقيق أمني سيبراني لشبكاتكم وأصولكم بغرض الكشف عن الثغرات والأنظمة المعرضة للخطر، ومعالجة مكامن الضعف المكتشفة في محيط الشبكة وداخلها. • ننصحكم باستخدام حلول Kaspersky Next المتنوعة لحماية شركاتكم من تهديدات كثيرة، فهي توفر حماية فورية، وتقدم رؤية شاملة للتهديدات، وتوفر قدرات التحقق والاستجابة عبر برامج حماية النقاط الطرفية (EDR) والكشف والاستجابة الموسعة (XDR) للشركات بمختلف أحجامها وقطاعاتها. • زودوا خبراء أمن المعلومات لديكم برؤية متعمقة للتهديدات السيبرانية التي تستهدف مؤسساتكم. فالإصدار الأحدث من Kaspersky Threat Intelligence يمنحهم سياقاً غنياً ومتكاملاً يغطي عملية إدارة الحوادث كلها، ويساعدهم في اكتشاف المخاطر والتهديدات السيبرانية في الوقت المناسب.
الشرق الأوسط
١٠-٠٣-٢٠٢٥
- أعمال
- الشرق الأوسط
قراصنة كوريون شماليون يستولون على 1.5 مليار دولار من منصة عملات رقمية
تمكّن قراصنة من كوريا الشمالية من تحويل ما لا يقل عن 300 مليون دولار من أصل 1.5 مليار دولار سُرقت خلال عملية اختراق غير مسبوقة لمنصة تداول العملات الرقمية «ByBit»، لتصبح هذه الأموال خارج نطاق الاسترداد؛ وفقاً لهيئة الإذاعة البريطانية «بي بي سي». اختراق مدوٍ تقوده مجموعة «لازاروس» وبحسب التقارير، فإن القراصنة، المعروفين باسم مجموعة « لازاروس» (Lazarus Group)، شنّوا هجوماً إلكترونياً واسع النطاق قبل أسبوعين، نجحوا خلاله في سرقة هذا المبلغ الهائل من العملات الرقمية. ورغم الضربة الكبيرة، أكد الرئيس التنفيذي لـ«ByBit»، بن تشو، أن أموال العملاء لم تُمس، مشيراً إلى أن الشركة قامت بتعويض الأموال المسروقة عبر قروض من المستثمرين، متعهداً بشن حرب ضد لازاروس لاستعادة الأموال وتعطيل مخططات القراصنة. مكافآت لتعقب الأموال المسروقة وأطلقت «ByBit» برنامجاً تحت اسم «Lazarus Bounty»، يهدف إلى تشجيع الجمهور على تتبع الأموال المسروقة وتجميدها، مستفيداً من تقنية البلوكشين (Blockchain)، التي تجعل من الممكن تعقب المعاملات المالية المشفرة. وحتى الآن، نجح 20 شخصاً في الحصول على مكافآت تجاوزت 4 ملايين دولار مقابل تحديد 40 مليون دولار من الأموال المسروقة، مما ساعد منصات التشفير على إحباط محاولات القراصنة لغسل الأموال. ويرى خبراء الأمن السيبراني أن احتمالية استرداد بقية الأموال ضئيلة، خاصة مع احتراف كوريا الشمالية في القرصنة وغسل الأموال. سباق مع الزمن لوقف عمليات التبييض منذ وقوع السرقة، أصبح الوضع أشبه بلعبة قط وفأر، حيث يعمل القراصنة من دون توقف لنقل الأموال المشفرة وإخفاء أثرها قبل أن يتم تتبعها. يقول الدكتور توم روبنسون، الشريك المؤسس لشركة التحقيقات في العملات المشفرة «Elliptic»: «كل دقيقة تمر تزيد من صعوبة استعادة الأموال، القراصنة متطورون للغاية، ويستخدمون أنظمة تلقائية متقدمة لتمويه المسارات المالية». كوريا الشمالية... القرصنة كأنها مصدر تمويل رسمي تعد كوريا الشمالية الدولة الوحيدة في العالم التي تستخدم الجرائم الإلكترونية مصدراً رئيساً لتمويل أنشطتها. وبعدما كانت أهدافها في السابق تقتصر على البنوك، باتت في السنوات الأخيرة تركز بشكل زائد على منصات العملات المشفرة، التي تفتقر إلى أنظمة قوية لمكافحة غسل الأموال. أبرز عمليات الاختراق المرتبطة بكوريا الشمالية: 2019: سرقة 41 مليون دولار من منصة «ByBit». 2020: سرقة 275 مليون دولار من «KuCoin» (مع استعادة معظم الأموال). 2022: هجوم على «Ronin Bridge» أدى إلى سرقة 600 مليون دولار. 2023: سرقة 100 مليون دولار من «Atomic Wallet». ورغم إدراج الولايات المتحدة عدداً من أفراد مجموعة «لازاروس» على قائمة المطلوبين، فإن إمكانية اعتقالهم شبه معدومة، ما لم يغادروا كوريا الشمالية، وهو أمر غير متوقع. وفي ظل هذا الوضع، تبقى المعركة مستمرة بين منصات العملات المشفرة والسلطات الأمنية من جهة، وقراصنة «لازاروس» من جهة أخرى، في سباق يبدو أن كوريا الشمالية ما زالت تتفوق فيه.
