كشفت شركة الأمن السيبراني 'كاسبرسكي' عن حملة اختراق متطورة نسبت إلى مجموعة القرصنة الكورية الشمالية 'لازاروس'، استهدفت ما لا يقل عن 6 منظمات كورية جنوبية تعمل في مجالات المالية، وتكنولوجيا المعلومات، وأشباه الموصلات، والبرمجيات، والاتصالات.

ورغم أن استهداف 'لازاروس' لكوريا الجنوبية ليس جديدا، إلا أن هذه الهجمات التي أطلق عليها اسم عملية SyncHole، تميزت باستخدام تكتيك 'حفرة الماء' watering hole، إلى جانب استغلال ثغرات أمنية في برامج تستخدم على نطاق واسع داخل البلاد.

اعتمدت 'لازاروس' على ثغرة أمنية في تطبيق يعرف باسم Cross EX، والذي يستخدم داخل المؤسسات الكورية لضمان تشغيل برامج الأمان الإلزامية في بيئات المتصفح، خصوصا على مواقع الخدمات المصرفية والمواقع الحكومية التي تتطلب برمجيات خاصة لمنع تسجيل ضغطات المفاتيح وتوقيعات رقمية معتمدة على الشهادات.

ووفقا لـ'كاسبرسكي'، أظهرت المجموعة فهما عميقا للبيئة الرقمية المحلية في كوريا الجنوبية، واستخدمت هذا الفهم لتوجيه هجمات دقيقة تستهدف هذه البرامج الإلزامية.

يبدأ الهجوم عند زيارة المستخدمين مواقع إعلامية كورية جنوبية، حيث أعيد توجيههم إلى موقع خبيث يتحكم فيه المهاجمون، وذلك عبر نصوص برمجية خبيثة من جهة الخادم. 

واستخدمت هذه البرمجيات ثغرات في تطبيق Cross EX ونظام Innorix Agent الذي يمستخدم لنقل الملفات داخل مؤسسات مالية وإدارية لتثبيت برمجيات خبيثة.

من أبرز البرمجيات المستخدمة في المراحل الأولى ThreatNeedle وwAgent، واللتين تم حقنهما في عملية نظام شرعية تدعى SyncHost، وهي تقنية استخدمت في كل حالات اختراق “SyncHole”.

وفي المراحل التالية، تم تفعيل برمجيات خبيثة إضافية مثل SignBT وCopperHedge، إلى جانب أدوات أخرى لجمع معلومات عن الأنظمة المستهدفة، مثل LPEClient لتحليل الضحايا، وأداة تنزيل تدعى Agamemnon، بالإضافة إلى أدوات لسحب بيانات تسجيل الدخول.

أظهر تحليل نسخ البرمجيات الخبيثة أن مجموعة لازاروس تقوم بتحديث أدواتها بشكل مستمر لتفادي أنظمة الكشف، كما تم رصد قيامها باستطلاع داخلي يدوي داخل الشبكات المصابة عبر تنفيذ أوامر نظام Windows.

وأكدت كاسبرسكي أنها أبلغت مركز الاستجابة للطوارئ السيبرانية في كوريا الجنوبية KrCERT، وتم بالفعل إطلاق تحديثات أمنية لإغلاق الثغرات المستغلة.

ورغم توثيق استهداف 6 منظمات فقط، فإن الشركة الأمنية ترجح أن عدد الضحايا أعلى بكثير، نظرا للاستخدام الواسع للتطبيقات المستهدفة في قطاعات متعددة داخل كوريا.

واختتمت كاسبرسكي بأن نسبة عالية من عينات البرمجيات المستخدمة في هذه الحملة تتطابق مع أنماط وتقنيات استخدمتها مجموعة 'لازاروس' سابقا، ما يدعم بشكل قوي نسبة الهجمات إليها.