مجموعة لازاروس (المعروفة أيضًا بـ "Guardians" أو "Peace or Whois Team") هي مجموعة قراصنة مكونة من عدد غير محدد من الأفراد، يُزعم أنها تحت سيطرة الحكومة الكورية الشمالية.
على الرغم من أن المعلومات حول المجموعة محدودة، فقد تم ربط العديد من الهجمات الإلكترونية بها منذ عام 2010.
كانت المجموعة في البداية عصابة إجرامية، لكن الآن بسبب نواياها الهجومية، والتهديدات التي تسببت فيها، والطرق المتعددة التي تستخدمها أثناء العمليات، تم تصنيفها على أنها مجموعة تهديد مستمر متقدمة.
أطلقت وكالات الأمن السيبراني عليهم عددًا من الأسماء المستعارة، مثل "Hidden Cobra" (اسم أطلقته وزارة الأمن الداخلي الأمريكية للإشارة إلى الأنشطة الضارة التي تديرها الحكومة الكورية)، و"ZINC" أو "Diamond Sleet" (الاسم الذي تستخدمه مايكروسوفت). وفقًا للمنشق الكوري كيم كوك سونغ، تعرف المجموعة في كوريا الشمالية باسم "مكتب الاتصال 414".
ترتبط مجموعة لازاروس ارتباطًا وثيقًا بكوريا الشمالية. أعلنت وزارة العدل الأمريكية أن هذه المجموعة هي جزء من استراتيجية الحكومة الكورية الشمالية، وهدفها هو "تدمير الأمن السيبراني العالمي... وانتهاك العقوبات للحصول على إيرادات غير قانونية".
تستطيع كوريا الشمالية من خلال القيام بأنشطة إلكترونية الحصول على العديد من الفوائد، حيث تحتاج فقط إلى الحفاظ على فريق صغير جداً ليشكل تهديدًا "عالميًا" غير متكافئ (خصوصًا ضد كوريا الجنوبية).
تاريخ التطور
الهجوم المعروف الذي نفذته المجموعة هو "عملية تروجان" من 2009 إلى 2012. كانت هذه عملية تجسس إلكتروني، استخدمت تقنيات هجمات DDoS الموزعة البسيطة، مستهدفة الحكومة الكورية في سيول. في عامي 2011 و2013، نفذوا أيضًا هجمات.
على الرغم من عدم التأكد، إلا أن الهجوم الذي وقع ضد كوريا الجنوبية في عام 2007 قد يكون أيضًا من تنفيذهم. واحدة من الهجمات الشهيرة التي نفذتها المجموعة حدثت في عام 2014، والتي كانت تستهدف Sony Pictures. استخدمت هذه الهجمة تقنيات أكثر تعقيدًا، مما أظهر أن المجموعة أصبحت أكثر نضجًا مع مرور الوقت.
في تقارير، يُقال إن مجموعة Lazarus سرقت 12 مليون دولار من بنك أسترو في الإكوادور في عام 2015، و100 مليون دولار من بنك فيتنامي يُعرف باسم "بنك先锋". كما استهدفت البنوك في بولندا والمكسيك.
في حادثة سرقة البنك في عام 2016، قاموا بشن هجوم على أحد البنوك وسرقوا بنجاح 81 مليون دولار، ويعتبر هذا الحادث أيضًا جزءًا من نشاط هذه المجموعة.
في عام 2017، أُفيد أن مجموعة لازاروس سرقت 60 مليون دولار من بنك "Far Eastern International Bank" في تايوان، على الرغم من أن المبلغ المسروق الحقيقي غير واضح، وقد تم استرداد معظم الأموال.
لا يزال من غير الواضح من هو العقل المدبر الحقيقي وراء هذه المجموعة، لكن التقارير الإعلامية تشير إلى أن هذه المجموعة لها صلات وثيقة بكوريا الشمالية.
في عام 2017، أفادت مختبرات Kaspersky بأن مجموعة Lazarus تميل إلى التركيز على هجمات التجسس والتسلل، بينما كان أحد فروعها الذي يُطلق عليه Kaspersky "Bluenoroff" متخصصًا في الهجمات المالية. اكتشف Kaspersky العديد من الحوادث حول العالم، ووجد أن Bluenoroff مرتبط مباشرة بعنوان IP خاص بالدولة.
ومع ذلك، اعترف Kaspersky أيضًا بأن إعادة استخدام الشفرات قد تكون "عملية علم مزيف" تهدف إلى تضليل المحققين وإلصاق التهمة بكوريا الشمالية، حيث أن هجوم "وانا كراي" على نطاق عالمي استنسخ تقنيات وكالة الأمن القومي الأمريكية.
تستغل هذه البرمجيات الخبيثة ثغرة "EternalBlue" من وكالة الأمن القومي الأمريكية، وفي أبريل 2017، قامت مجموعة قراصنة تُعرف باسم "The Shadow Brokers" بالإفصاح عن هذه الثغرة. في عام 2017، أفادت شركة Symantec بأن هجوم "وانا كراي" كان على الأرجح من تنفيذ مجموعة لازاروس.
عملية "تروجان" في عام 2009
حدثت أول حادثة كبيرة لمجموعة Lazarus في 4 يوليو 2009، مما يمثل بداية "عملية تروجان". استخدم هذا الهجوم برمجيات خبيثة تُعرف باسم "MyDoom" و"Dozer" لشن هجمات DDoS واسعة النطاق على مواقع ويب في الولايات المتحدة وكوريا الجنوبية. استهدفت هذه الحملة حوالي 36 موقعًا، وزرعت نصًا يحمل اسم "عيد الاستقلال" في سجل التمهيد الرئيسي.
الهجوم الإلكتروني على كوريا الجنوبية في عام 2013 ("عملية 1" / "عملية الظلام في سيول")
مع مرور الوقت، أصبحت أساليب الهجوم التي تتبعها المجموعة أكثر تعقيدًا؛ كما أصبحت تقنياتها وأدواتها أكثر نضجًا وفعالية. في مارس 2011، وقعت هجمات "عشرة أيام من المطر"، والتي استهدفت وسائل الإعلام والمالية والبنية التحتية الحيوية في كوريا، مستخدمة تقنيات DDoS الأكثر تعقيدًا، التي انطلقت من أجهزة الكمبيوتر المخترقة داخل كوريا. في 20 مارس 2013، تم إطلاق "عملية الظلام في سيول"، وهي هجوم يهدف إلى محو البيانات، مستهدفًا ثلاث محطات إذاعية في كوريا، مؤسسات مالية، ومزود خدمة إنترنت. في ذلك الوقت، أعلنت مجموعتان أخريان تُعرفان باسم "الجيش الشبكي الجديد" و"فريق WhoIs" عن مسؤوليتهما عن الهجوم، لكن الباحثين في ذلك الوقت لم يعرفوا أن العقل المدبر كان مجموعة Lazarus. اليوم، يعرف الباحثون أن مجموعة Lazarus كانت هي الجهة الرائدة وراء هذه الهجمات التخريبية.
نهاية عام 2014: تم اختراق شركة Sony Pictures
في 24 نوفمبر 2014، بلغت هجمات مجموعة Lazarus ذروتها. في ذلك اليوم، ظهرت منشور على Reddit يشير إلى أن Sony Pictures قد تعرضت للاختراق بطرق غير معروفة، وادعى المهاجمون أنهم "حماة السلام". تم سرقة كميات كبيرة من البيانات، وبدأت في التسرب تدريجيًا على مدار الأيام التالية. قال شخص يدعي أنه عضو في المجموعة في مقابلة إنه تم سرقة بيانات Sony منذ أكثر من عام.
تمكن القراصنة من الوصول إلى أفلام لم تُصدر بعد، وبعض سيناريوهات الأفلام، وخطط أفلام مستقبلية، ومعلومات رواتب كبار المسؤولين في الشركات، والبريد الإلكتروني، ومعلومات شخصية لنحو 4000 موظف.
تحقيقات عام 2016: "عملية القنبلة الثقيلة"
تحت اسم "عملية القنبلة الثقيلة"، شكلت مجموعة من شركات الأمن تحت قيادة "Novetta" تحالفًا لتحليل عينات البرمجيات الضارة التي تم اكتشافها في حوادث الأمن السيبراني المختلفة. باستخدام هذه البيانات، قامت المجموعة بتحليل أساليب الهجوم التي استخدمها القراصنة. من خلال نمط إعادة استخدام الشفرات، ربطوا مجموعة لازاروس بعدة هجمات. على سبيل المثال، استخدموا خوارزمية تشفير نادرة على الإنترنت - "خوارزمية كاراكاس".
حادثة سرقة مصرفية في عام 2016
في فبراير 2016، وقعت حادثة سرقة مصرفية. استخدم القراصنة الأمناء شبكة SWIFT لإرسال 35 أمرًا احتياليًا، في محاولة لنقل ما يقرب من مليار دولار بشكل غير قانوني من حساب البنك المركزي لدولة معينة في بنك الاحتياطي الفيدرالي في نيويورك. تم تحويل 5 من الأوامر الاحتيالية بنجاح بمبلغ 101 مليون دولار، حيث تم توجيه 20 مليون دولار إلى سريلانكا و81 مليون دولار إلى الفلبين. تسبب خطأ إملائي في أحد الأوامر في إحداث شكوك لدى بنك الاحتياطي الفيدرالي في نيويورك، مما أدى إلى منع الـ 30 عملية المتبقية، والتي شملت مبلغ 850 مليون دولار. وذكر خبراء الأمن السيبراني أن العقل المدبر وراء هذا الهجوم هو مجموعة Lazarus من دولة معينة.
هجوم ransomware "WannaCry" في مايو 2017
"وانا كراي" هو هجوم واسع النطاق من برمجيات الفدية، في 12 مايو 2017، تأثر عدد كبير من المؤسسات عالميًا، من الخدمة الصحية الوطنية في المملكة المتحدة (NHS) إلى شركة بوينغ وحتى بعض الجامعات في الصين. استمر هذا الهجوم لمدة 7 ساعات و19 دقيقة. وقد قدرت وكالة الشرطة الأوروبية أن هذا الهجوم أثر على ما يقرب من 200,000 جهاز كمبيوتر في 150 دولة، وكانت المناطق الأكثر تأثرًا تشمل روسيا والهند وأوكرانيا ومنطقة تايوان. كان هذا من بين أولى الهجمات التي استخدمت الديدان الضارة.
الديدان الخبيثة هي نوع من البرمجيات الضارة التي يمكن أن تنتشر عبر الشبكة بين أجهزة الكمبيوتر دون الحاجة إلى تدخل مباشر من المستخدم، حيث تستغل هذه العملية ثغرة في منفذ TCP 445. يمكن أن تصيب أجهزة الكمبيوتر بالفيروس دون الحاجة للنقر على رابط ضار، حيث يمكن للبرمجيات الضارة الانتشار تلقائيًا، بدءًا من جهاز كمبيوتر إلى الطابعة المتصلة، ثم إلى أجهزة كمبيوتر أخرى متصلة بالشبكة اللاسلكية القريبة. سمحت ثغرة المنفذ 445 للبرمجيات الضارة بالانتشار بحرية داخل الشبكة الداخلية، مما أدى إلى إصابة آلاف أجهزة الكمبيوتر بسرعة. هجوم "وانا كراي" هو واحد من أولى الهجمات على نطاق واسع باستخدام الديدان الخبيثة.
أسلوب الهجوم: استغل الفيروس ثغرة في نظام تشغيل Windows، ثم قام بتشفير بيانات الكمبيوتر، مطالبًا بدفع حوالي 300 دولار من البيتكوين للحصول على مفتاح فك التشفير. لتشجيع الضحايا على الدفع، تضاعف الفدية بعد ثلاثة أيام، وإذا لم يتم الدفع في غضون أسبوع، ستقوم البرمجيات الضارة بحذف ملفات البيانات المشفرة.
استخدمت البرمجيات الضارة برنامجًا شرعيًا طورته مايكروسوفت يُسمى "Windows Crypto" لتشفير الملفات. بعد الانتهاء من التشفير، تمت إضافة لاحقة "Wincry" إلى أسماء الملفات، مما أدى إلى اسم "وانا كراي". "Wincry" هو الأساس للتشفير، لكن البرمجيات الضارة استخدمت أيضًا ثغرتين إضافيتين "EternalBlue" و"DoublePulsar"، مما جعلها دودة تشفير.
"EternalBlue" يمكنه الانتشار تلقائيًا عبر الشبكة، بينما "DoublePulsar" يُفعّل الفيروس على جهاز الكمبيوتر الخاص بالضحايا. بمعنى آخر، يقوم "EternalBlue" بنشر الروابط المصابة إلى جهاز الكمبيوتر الخاص بك، بينما يقوم "DoublePulsar" بالنقر عليها بدلاً منك.
تلقى الباحث الأمني ماركوس هاتشينز عينة الفيروس من صديق يعمل في شركة أبحاث أمنية، واكتشف أن الفيروس يشفر "مفتاح مكافحة الفيروسات"، مما أدى إلى إنهاء الهجوم. تقوم البرمجيات الضارة بالتحقق بشكل دوري مما إذا كان قد تم تسجيل اسم نطاق معين، ولا تستمر في إجراء التشفير إلا إذا لم يكن هذا النطاق موجودًا.
اكتشف هاتشينز هذه الآلية للتحقق، ثم قام بتسجيل النطاق ذات الصلة في الساعة 3:03 مساءً بالتوقيت العالمي. توقفت البرمجيات الضارة عن الانتشار وإصابة الأجهزة الجديدة على الفور. هذه الحالة مثيرة للاهتمام، حيث قدمت أدلة لتعقب مصممي الفيروس. عادةً ما يتطلب منع البرمجيات الضارة معركة متكررة بين القراصنة وخبراء الأمان تستمر لعدة أشهر، لكن الفوز بسهولة كان غير متوقع. كان هناك شيء غير عادي أيضًا في هذا الهجوم، وهو أنه بعد دفع الفدية، لم يكن من الممكن استعادة الملفات: فقد تلقى القراصنة فقط 160,000 دولار كفدية، مما جعل الكثيرين يعتقدون أن هدفهم لم يكن المال.
"مفتاح مكافحة الفيروسات" سهل الاختراق وعائدات الفدية كانت ضئيلة، مما جعل الكثيرين يعتقدون أن هذه الهجمة كانت مدعومة من قبل الدولة؛ دوافعها لم تكن لتعويض اقتصادي، بل لإحداث فوضى. بعد الهجوم، تتبعت فرق الأمان ووجدت أن ثغرة "DoublePulsar" تنبع من وكالة الأمن القومي الأمريكية، حيث تم تطوير هذه الثغرة في الأصل كأداة حروب إلكترونية.
لاحقًا، قامت مجموعة القراصنة "The Shadow Brokers" بسرقة هذه الثغرة، حيث حاولوا أولاً بيعها ولكن لم ينجحوا، وفي النهاية قاموا بنشرها مجانًا. أبلغت وكالة الأمن القومي الأمريكية Microsoft عن تفاصيل الثغرة، وأصدرت Microsoft تحديثًا في 14 مارس 2017، قبل أقل من شهر من وقوع الهجوم. لكن هذا لم يكن كافيًا، حيث أن التحديث لم يكن إلزاميًا، بحلول 12 مايو، كانت معظم الأجهزة التي تعاني من هذه الثغرة لا تزال غير مصححة، مما أدى إلى دمار هائل.
التأثير اللاحق: قامت وزارة العدل الأمريكية والسلطات البريطانية لاحقاً بتحديد أن هجوم "وانا كراي" كان من تنفيذ مجموعة القراصنة الكورية الشمالية "Lazarus Group".
حادثة الهجوم على العملات المشفرة في عام 2017
في عام 2018، أصدرت Recorded Future تقريرًا يفيد بأن مجموعة Lazarus مرتبطة بهجمات ضد مستخدمي العملات المشفرة مثل البيتكوين وMonero، حيث كانت هذه الهجمات تستهدف بشكل رئيسي المستخدمين في كوريا الجنوبية.
استخدم قراصنة مجموعة Lazarus واحدة من طرقهم باستغلال ثغرة في برنامج معالجة النصوص الكوري "Hangul" (الذي طورته شركة Hancom). كانت إحدى الطرق الأخرى هي إرسال طُعم تصيد احتيالي يحتوي على برمجيات ضارة، مستهدفين الطلاب الكوريين ومستخدمي منصات تبادل العملات المشفرة مثل Coinlink.
إذا فتح المستخدم البرمجيات الضارة، فسيتم سرقة عنوان بريده الإلكتروني وكلمة المرور. نفت Coinlink أن موقعها أو عناوين البريد الإلكتروني لمستخدميها قد تعرضت للاختراق.
يخلص التقرير إلى أن: "سلسلة الهجمات التي حدثت في نهاية عام 2017 تشير إلى أن اهتمام دولة ما بالعملات المشفرة يتزايد، والآن نعلم أن هذا الاهتمام يشمل مجموعة واسعة من الأنشطة بما في ذلك التعدين، وهجمات البرمجيات الخبيثة، والسرقة المباشرة..." كما أشار التقرير إلى أن الدولة استخدمت هذه الهجمات بالعملات المشفرة لتجنب العقوبات المالية الدولية.
في فبراير 2017، سرق قراصنة من دولة معينة 7 ملايين دولار من منصة تبادل العملات المشفرة الكورية الجنوبية "Bithumb". تعرضت شركة أخرى لتبادل البيتكوين الكورية "Youbit" لهجوم في أبريل 2017، وبعد ذلك في ديسمبر من نفس العام، اضطرت للإعلان عن إفلاسها بسبب سرقة 17% من أصولها.
تم اتهام مجموعة لازاروس وقراصنة من دولة معينة بأنهم العقل المدبر وراء هذه الهجمات. في ديسمبر 2017، تكبد سوق التعدين السحابي للعملات المشفرة "Nicehash" خسائر تتجاوز 4500 بيتكوين. وأظهرت تحديثات التحقيق أن هذا الهجوم مرتبط بمجموعة لازاروس.
حادثة الهجوم في سبتمبر 2019
في منتصف سبتمبر 2019، أصدرت الولايات المتحدة تحذيرًا عامًا عن نوع جديد من البرمجيات الخبيثة يسمى "ElectricFish". منذ بداية عام 2019، نفذت مجموعة من عملاء الدولة خمس عمليات سرقة كبيرة على مستوى العالم، بما في ذلك نجاحها في سرقة 49 مليون دولار من مؤسسة في الكويت.
حادثة الهجوم على شركات الأدوية في نهاية عام 2020
نظرًا لاستمرار انتشار جائحة كوفيد-19، أصبحت شركات الأدوية الهدف الرئيسي لمجموعة لازاروس. استخدم أعضاء مجموعة لازاروس تقنيات التصيد الاحتيالي، متنكرين في صورة مسؤولي صحة، لإرسال روابط ضارة لموظفي شركات الأدوية. يُعتقد أن العديد من الشركات الكبيرة للأدوية كانت أهدافًا للهجمات، ولكن حتى الآن تم تأكيد وجود شركة "أسترازينيكا" المملوكة لشركة مشتركة بين إنجلترا وسويسرا.
قالت وكالة رويترز إن العديد من الموظفين كانوا ضحايا للهجمات، حيث شارك العديد منهم في تطوير لقاح كوفيد-19. لا يزال غير واضح ما هو الهدف الحقيقي لمجموعة Lazarus من وراء هذه الهجمات، لكن من المحتمل أن تشمل: سرقة معلومات حساسة لتحقيق الربح، تنفيذ خطط الابتزاز، والسماح لأنظمة الدول الأجنبية بالحصول على نتائج أبحاث خاصة بكوفيد-19. لم تعلق أسترازينيكا بعد على هذا الحادث، ويعتقد الخبراء أنه لا يوجد حاليًا تسريبات لمعلومات حساسة.
حادثة هجوم على باحثي الأمن السيبراني في يناير 2021
في يناير 2021، أبلغت كل من جوجل ومايكروسوفت علنًا أن مجموعة من القراصنة من دولة معينة قد هاجمت باحثي الأمن السيبراني باستخدام وسائل الهندسة الاجتماعية، وأكدت مايكروسوفت أن هذا الهجوم تم تنفيذه من قبل مجموعة Lazarus.
أنشأ القراصنة حسابات متعددة على منصات مثل Twitter وGitHub وLinkedIn، متنكرين في صورة باحثين شرعيين في مواضيع الثغرات، وتفاعلوا مع المشاركات والمحتوى الذي نشره الآخرون في مجتمع أبحاث الأمان. ثم يتواصلون مباشرة مع باحثين محددين في الأمن، بدعوى التعاون في الأبحاث، مما يُغري الضحايا بتحميل ملفات تحتوي على برمجيات ضارة، أو زيارة مقالات مدونة على مواقع يسيطر عليها القراصنة.
قال بعض الضحايا الذين زاروا مقالات المدونة إنه على الرغم من أنهم استخدموا متصفح جوجل كروم مع تثبيت كامل للتحديثات، إلا أن أجهزة الكمبيوتر الخاصة بهم تعرضت للاختراق، مما يشير إلى أن القراصنة قد استغلوا ثغرة غير معروفة في كروم. ومع ذلك، قالت جوجل عند إصدار التقرير إنها لم تتمكن من تحديد كيفية الاختراق بالضبط.
حادثة هجوم لعبة السلسلة "Axie Infinity" في مارس 2022
في مارس 2022، اتُهمت مجموعة Lazarus بسرقة عملات مشفرة بقيمة 620 مليون دولار من شبكة Ronin المستخدمة في لعبة Axie Infinity. قالت وزارة العدل الأمريكية: "من خلال التحقيق، تأكدنا من أن مجموعة Lazarus وAPT 38 (الجهات الفاعلة المرتبطة بكوريا الشمالية) هم العقل المدبر وراء هذه السرقة."
حادثة هجوم "Horizon Bridge" في يونيو 2022
أكد مكتب التحقيقات الفيدرالي أن مجموعة القراصنة الكورية الشمالية "Lazarus Group" (المعروفة أيضًا باسم APT 38) هي المسؤولة عن سرقة 100 مليون دولار من "Harmony's Horizon Bridge" كما أُفيد في تقرير 24 يونيو 2022.
هجمات أخرى ذات صلة بالعملات المشفرة في عام 2023
ذكر تقرير صادر عن منصة أمان blockchain Immunefi أن مجموعة Lazarus كانت مسؤولة عن هجمات القرصنة على العملات المشفرة في عام 2023، حيث نتج عن ذلك خسائر تجاوزت 300 مليون دولار، أي ما يعادل 17.6% من إجمالي الخسائر لهذا العام.
حادثة هجوم "Atomic Wallet" في يونيو 2023: في يونيو 2023، تم سرقة عملات مشفرة بقيمة تزيد عن 100 مليون دولار من مستخدمي خدمة Atomic Wallet، وأكد مكتب التحقيقات الفيدرالي بعد ذلك وقوع هذا الحادث.
حادثة هجوم Stake.com في سبتمبر 2023: في سبتمبر 2023، أكد مكتب التحقيقات الفيدرالي أن مجموعة Lazarus سرقت عملات مشفرة بقيمة 41 مليون دولار من منصة المقامرة Stake.com.
العقوبات الأمريكية
في 14 أبريل 2022، أدرج مكتب مراقبة الأصول الأجنبية التابع لوزارة الخزانة الأمريكية مجموعة Lazarus في قائمة المواطنين المعينين خصيصًا وفقًا لقوانين العقوبات الخاصة بالدولة.
حادثة هجوم العملات المشفرة في عام 2024
وفقًا لوسائل الإعلام الهندية، تعرضت إحدى بورصات العملات المشفرة المحلية المعروفة باسم "WazirX" لهجوم من قبل هذه المجموعة، حيث تم سرقة أصول مشفرة بقيمة 234.9 مليون دولار.
تدريب الأفراد
تشير التقارير إلى أن بعض القراصنة الكوريين الشماليين قد يتم إرسالهم إلى شنيانغ في الصين للتدريب المتخصص، لتعلم كيفية زرع أنواع مختلفة من البرمجيات الضارة في أجهزة الكمبيوتر والشبكات والخوادم. في الداخل الكوري، تتحمل جامعة كيم تشيك الصناعية الشاملة، وجامعة كيم إيل سونغ الشاملة، وجامعة وانغ كيونغ داي مسؤوليات التعليم ذات الصلة، حيث تختار هذه الجامعات أفضل الطلاب من جميع أنحاء البلاد لتلقي تعليم خاص لمدة ست سنوات. بالإضافة إلى التعليم الجامعي، "بعض أفضل المبرمجين... يتم إرسالهم إلى جامعة وانغ كيونغ داي أو مدرسة ميريم للتقدم في دراساتهم."
الفروع التنظيمية
يعتقد أن مجموعة Lazarus لديها فرعين.
BlueNorOff
تعتبر "BlueNorOff" (المعروفة أيضًا باسم APT 38، "الخيول السريعة"، "BeagleBoyz"، "NICKEL GLADSTONE") مجموعة مدفوعة بالمصالح الاقتصادية، تقوم بتحويل الأموال بشكل غير قانوني من خلال تزييف تعليمات "SWIFT".
وفقًا لتقرير صادر عن الجيش الأمريكي في عام 2020، كان لدى مجموعة BlueNorOff حوالي 1700 عضو، يركزون على تقييم واستغلال ثغرات الشبكة الخاصة بالعدو، وارتكاب جرائم مالية للحصول على فوائد اقتصادية لصالح نظام البلد. بين عامي 2014 و2021، كانت أهدافهم تشمل 16 مؤسسة في 13 دولة على الأقل، بما في ذلك بنغلاديش، تشيلي، الهند، المكسيك، باكستان، الفلبين، كوريا الجنوبية، تايوان، تركيا وفيتنام. يُعتقد أن هذه العائدات غير القانونية استخدمت لتمويل تطوير تكنولوجيا الصواريخ والنووية في الدولة.
أحد أشهر هجمات BlueNorOff كان في عام 2016 عندما حاولوا نقل ما يقرب من مليار دولار بشكل غير قانوني من حساب البنك المركزي لدولة معينة في بنك الاحتياطي الفيدرالي في نيويورك عبر شبكة SWIFT. بعد نجاح بعض المعاملات (20 مليون دولار توجهت نحو سريلانكا، و81 مليون دولار نحو الفلبين)، أثار بنك الاحتياطي الفيدرالي في نيويورك الشكوك بسبب خطأ إملائي في أحد الأوامر، مما أدى إلى منع المعاملات المتبقية.
تشمل البرمجيات الضارة المرتبطة بـ "BlueNorOff": "DarkComet"، "Mimikatz"، "Nestegg"، "Macktruck"، "أريد البكاء"، "Whiteout"، "Quickcafe"، "Rawhide"، "Smoothride"، "TightVNC"، "Sorrybrute"، "Keylime"، "Snapshot"، "Mapmaker"، "net.exe"، "sysmon"، "Bootwreck"، "Cleantoad"، "Closeshave"، "Dyepack"، "Hermes"، "Twopence"، "Electricfish"، "Powerratankba" و "Powerspritz".
تشمل الأساليب الشائعة لمجموعة BlueNorOff: التصيد الاحتيالي، إعداد أبواب خلفية، استغلال الثغرات، هجمات برك الماء، تنفيذ التعليمات البرمجية على أنظمة باستخدام إصدارات قديمة وغير آمنة من Apache Struts 2، التسلل الاستراتيجي إلى المواقع، والوصول إلى خوادم Linux. هناك تقارير تفيد بأنهم أحيانًا يتعاونون مع قراصنة آخرين.
AndAriel
AndAriel، تُكتب أيضًا Andarial، ولها أسماء مستعارة أخرى: "الخيول السريعة الصامتة" (Silent Chollima)، "الظلام في سيول" (Dark Seoul)، "بندقية لاي فاي" (Rifle) و"فاسونيت" (Wassonite)، ومن ناحية منطقية، يتميز هذا الاسم باستهدافه لكوريا. الاسم المستعار لمجموعة Andariel "الخيول السريعة الصامتة" ينشأ من طبيعتها السرية في العمل. من الممكن أن تتعرض أي مؤسسة في كوريا لهجوم من قبل Andariel، بما في ذلك الوكالات الحكومية، وكالات الدفاع، والكيانات الاقتصادية المختلفة.
وفقًا لتقرير صادر عن الجيش الأمريكي في عام 2020، كان لدى منظمة "Andariel" حوالي 1600 عضو، وكانت مهمتهم هي القيام بالتجسس، وتقييم الثغرات في الشبكات، ورسم خرائط الشبكة للعدو من أجل تنفيذ هجمات محتملة. بالإضافة إلى كوريا الجنوبية، استهدفت أيضًا حكومات وبنى تحتية وشركات في دول أخرى. كانت أساليب الهجوم تشمل: استغلال عناصر التحكم ActiveX، ثغرات البرامج في كوريا، هجمات برك الماء، التصيد الاحتيالي، واستهداف منتجات إدارة تكنولوجيا المعلومات (مثل برامج مكافحة الفيروسات، وبرامج إدارة المشاريع)، بالإضافة إلى شن هجمات عبر سلسلة الإمداد (برامج التثبيت والتحديثات). البرمجيات الضارة المستخدمة تشمل: "Aryan"، "Gh0st RAT"، "Rifdoor"، "Phandoor" و"Andarat".
حالات توجيه الاتهام للأفراد المعنيين
في فبراير 2021، اتهمت وزارة العدل الأمريكية ثلاثة أعضاء من إدارة المخابرات العسكرية الكورية الشمالية - بارك جين هوك (Park Jin Hyok)، جون تشانغ هوك (Jon Chang Hyok) وكيم إيل بارك (Kim Il Park) بالمشاركة في العديد من أنشطة القرصنة لمجموعة Lazarus. تم اتهام بارك جين هوك منذ سبتمبر 2018. ولم يتم احتجاز أي من هؤلاء المشتبه بهم من قبل الولايات المتحدة حتى الآن. بالإضافة إلى ذلك، تم اتهام شخص كندي واثنين من الصينيين بأنهم كانوا يعملون كناقلين للأموال وغاسلي أموال لمجموعة Lazarus.