رصد باحثون في شركة الأمن السيبراني "كاسبرسكي" (Kaspersky) أسلوباً تقنياً متطوراً وغير مسبوق في حملة هجمات سيبرانية أطلقوا عليها اسم FlashHole، تُنسب إلى مجموعة القرصنة الكورية الشمالية المعروفة باسم Lazarus Group. وتستهدف هذه الحملة مؤسسات في كوريا الجنوبية، حيث تستخدم المهاجمون خوارزمية التشفير القياسية ML-KEM (المعروفة سابقاً بـ Kyber) لتأمين الاتصال بخوادم القيادة والسيطرة (C2) الخاصة بهم.
آلية الهجوم المعقدة
تعتمد الحملة على سلسلة إصابة معقدة تبدأ بصفحات تصيد توجه الضحايا إلى مستودعات GitHub معدة خصيصاً. تقوم هذه الصفحات بتحميل كود JavaScript يؤدي إلى تنفيذ سلسلة من الأوامر في ذاكرة الجهاز، مستغلةً أداة أمنية شائعة في كوريا الجنوبية تُدعى INISAFE CrossWeb EX. ومن خلال هذه الأداة، يتم تشغيل ملف نظام ويندوز شرعي (fsquirt.exe) لتنفيذ كود برمجي يقوم بتثبيت أداة تنزيل تُدعى TechHub، والتي تتولى جلب برمجيات خبيثة إضافية من مستودعات GitHub خاصة.
لماذا يهم هذا الخبر؟
يُعد استخدام التشفير المقاوم للحوسبة الكمية (Post-Quantum Cryptography) في هجمات البرمجيات الخبيثة تطوراً لافتاً. فبينما صُممت معايير مثل ML-KEM لحماية البيانات من هجمات "الاعتراض الآن وفك التشفير لاحقاً"، استغل المهاجمون هذه التقنية لإخفاء حمولاتهم الخبيثة عن أنظمة المراقبة الأمنية. يقوم برنامج LPEClient الخبيث بتبادل مفاتيح عامة مع خادم المهاجمين لتوليد مفاتيح مشتركة، مما يسمح بفك تشفير الحمولات الواردة بشكل آمن ومستتر.
أدوات إضافية في ترسانة Lazarus
إلى جانب التشفير المتقدم، تستخدم الحملة أدوات أخرى تشمل:
- ClientHub: أداة تحميل تدعم الاتصال عبر خدمة Dropbox وتبادل البيانات المباشر مع LPEClient.
- Cubridge: باب خلفي (Backdoor) معياري يوفر قدرات إدارة الملفات، تنفيذ الأوامر، والاستطلاع، بالإضافة إلى التقاط صور للشاشة.
- أدوات سرقة البيانات: برمجيات تستهدف متصفحات الويب القائمة على Chromium لسرقة بيانات الاعتماد وملفات تعريف الارتباط وسجل التصفح.
تشير التحليلات إلى أن معظم كود Lazarus في هذه العملية يعمل داخل الذاكرة (In-memory) لتقليل الأثر الرقمي، رغم وجود بعض آليات الاستمرارية التي تترك ملفات على القرص الصلب للضحية. وتربط كاسبرسكي هذه العملية بنشاط أوسع يُعرف بـ Cascade Hole، مما يؤكد استمرار المجموعة في تطوير تكتيكاتها لتجاوز الدفاعات الأمنية التقليدية.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.