في يونيو 2025، اهتزّ مجتمع الأمن السيبراني. تعرّض عضوٌ في مجموعة القرصنة الكورية الشمالية سيئة السمعة Kimsuky APT لاختراقٍ هائل للبيانات، ما كشف عن مئات الجيجابايتات من الملفات الداخلية الحساسة والأدوات والتفاصيل التشغيلية.

وفقًا لخبراء الأمن من Slow Mist، تضمنت البيانات المسربة سجلات المتصفح، وسجلات حملات التصيد التفصيلية، وأدلة للأبواب الخلفية المخصصة وأنظمة الهجوم مثل الباب الخلفي لنواة TomCat، ومنارات Cobalt Strike المعدلة، واستغلال Ivanti RootRot، والبرامج الضارة التي تعمل بنظام Android مثل Toybox.

نظامان مخترقان والمخترق «KIM»

ارتبط الاختراق بنظامين مخترقين يديرهما شخص يُعرف باسم «KIM»؛ أحدهما محطة عمل لمطوّر تعمل بنظام Linux (Deepin 20.9)، والآخر خادم VPS متاح للعامة.

من المرجح أن النظام الذي يعمل بنظام Linux استُخدم لتطوير البرمجيات الخبيثة، بينما استضاف خادم VPS مواد التصيّد وبوابات تسجيل دخول مزيفة وبنية القيادة والسيطرة (C2).

نفّذ التسريب مخترقون عرّفوا أنفسهم باسمَي «Saber» و«cyb0rg»، وزعموا أنهم سرقوا محتويات النظامين ونشروها. وبينما تربط بعض الأدلة «KIM» ببنية تحتية معروفة لـKimsuky، تشير مؤشرات لغوية وتقنية أيضًا إلى احتمال وجود صلة صينية، ما يجعل الأصل الحقيقي غير مؤكد.

تاريخ طويل من التجسس الإلكتروني

تنشط Kimsuky منذ عام 2012 على الأقل، وترتبط بمكتب الاستطلاع العام، وكالة الاستخبارات الرئيسية في كوريا الشمالية. وقد تخصصت منذ زمن طويل في التجسس الإلكتروني الذي يستهدف الحكومات ومراكز الأبحاث ومقاولي الدفاع والمؤسسات الأكاديمية.

في عام 2025، اعتمدت حملاته، مثل DEEP#DRIVE، على سلاسل هجمات متعددة المراحل. وبدأت عادةً بأرشيفات ZIP تحتوي على ملفات اختصارات LNK متنكرة في هيئة مستندات، وعند فتحها، كانت تنفّذ أوامر PowerShell لتنزيل حمولات ضارة من خدمات سحابية مثل Dropbox، مستخدمةً مستندات تمويهية لتبدو شرعية.

تقنيات وأدوات متقدمة

في ربيع عام 2025، نشرت Kimsuky مزيجًا من VBScript وPowerShell مخفيًا داخل أرشيفات ZIP من أجل:

• تسجيل ضغطات المفاتيح

• سرقة بيانات الحافظة

• جمع مفاتيح محافظ العملات المشفرة من المتصفحات (Chrome وEdge وFirefox وNaver Whale)

كما قرن المهاجمون ملفات LNK ضارة بنصوص VBScript نفّذت mshta.exe لتحميل برمجيات خبيثة قائمة على DLL مباشرةً في الذاكرة. واستخدموا وحدات مخصصة من RDP Wrapper وبرمجيات خبيثة تعمل كوكيل لتمكين الوصول عن بُعد خلسةً.

استخرجت برامج مثل forceCopy بيانات تسجيل الدخول من ملفات إعداد المتصفح من دون إطلاق تنبيهات الوصول المعتادة إلى كلمات المرور.

استغلال المنصات الموثوقة

استغلت Kimsuky منصات التخزين السحابي واستضافة الشيفرات الشائعة. ففي حملة تصيّد موجّهة في يونيو 2025 استهدفت كوريا الجنوبية، استُخدمت مستودعات GitHub خاصة لتخزين البرمجيات الخبيثة والبيانات المسروقة.

من خلال إيصال البرمجيات الخبيثة وتهريب الملفات عبر Dropbox وGitHub، تمكنت المجموعة من إخفاء أنشطتها ضمن حركة مرور الشبكة المشروعة.

#NorthKoreaHackers , #cyberattacks , #CyberSecurity , #phishingscam , #worldnews

ابقَ متقدمًا بخطوة؛ تابع ملفنا الشخصي وواكب كل ما هو مهم في عالم العملات المشفرة!

ملاحظة:

,,المعلومات والآراء الواردة في هذه المقالة مخصصة للأغراض التعليمية فقط، ولا ينبغي اعتبارها نصيحة استثمارية في أي ظرف. ولا ينبغي اعتبار محتوى هذه الصفحات نصيحة مالية أو استثمارية أو أي شكل آخر من أشكال المشورة. ونحذّر من أن الاستثمار في العملات المشفرة قد ينطوي على مخاطر وقد يؤدي إلى خسائر مالية.“