الرؤى الرئيسية
- استخدمت شركة Konni برمجيات PowerShell الخبيثة التي تم إنشاؤها باستخدام الذكاء الاصطناعي في عمليات الاحتيال الخاصة بها لاستهداف مطوري البلوك تشين في جميع أنحاء منطقة آسيا والمحيط الهادئ.
- تقدم الحملة أبوابًا خلفية عبر ملفات Discord ZIP مع إغراءات PDF واختصارات خبيثة.
- يقول الباحثون إن التعليقات والبنية على غرار LLM تشير بقوة إلى تطوير البرمجيات الخبيثة بمساعدة الذكاء الاصطناعي.
أطلق قراصنة Konni المرتبطون بكوريا الشمالية حملة باستخدام برمجيات خبيثة مبنية على الذكاء الاصطناعي لاستهداف مطوري ومهندسي البلوك تشين، وفقًا لباحثي Check Point. ويُضيف هذا النشاط إلى المخاوف المستمرة بشأن عمليات الاحتيال على العملات الرقمية والعمليات الإلكترونية المرتبطة بالدول التي تستهدف البنية التحتية للأصول الرقمية. تعتمد الحملة على الأبواب الخلفية المستندة إلى PowerShell وإغراءات الهندسة الاجتماعية لاختراق بيئات التطوير والوصول إلى الأصول الحساسة المتعلقة بالعملات الرقمية.
تعمل مجموعة Konni، المعروفة أيضًا باسم Opal Sleet والمتعقبة باسم TA406، منذ عام 2014 على الأقل. ويعتقد الباحثون أن المجموعة تحتفظ بعلاقات مع مجموعات تهديد كورية شمالية أخرى، بما في ذلك APT37 و Kimsuky. يُظهر النشاط التاريخي أن Konni استهدفت منظمات في كوريا الجنوبية وروسيا وأوكرانيا والعديد من الدول الأوروبية.
حملة البرمجيات الخبيثة المصممة بالذكاء الاصطناعي تُظهر مخاطر عمليات الاحتيال بالعملات الرقمية التي تستهدف المطورين
تبدأ هجمة الاحتيال الاحتيالية المشفرة برابط Discord يؤدي إلى أرشيف ZIP يحتوي على ملف PDF خادع وملف اختصار خبيث لنظام Windows (LNK). عندما يفتح الضحية الاختصار، يقوم بتشغيل أداة تحميل PowerShell مضمنة. يستخرج أداة التحميل ملف DOCX وأرشيف خزانة يحتوي على باب خلفي لبرنامج PowerShell، وملفين دفعيين، وملف قابل للتنفيذ لتجاوز التحكم في حساب المستخدم (UAC).
يفتح الاختصار ملف DOCX ويقوم بتشغيل أحد الملفات الدفعية المضمنة في الأرشيف. يعمل المستند الخادع كطعم، مما يشير إلى محاولة اختراق بيئات التطوير. لاحظ الباحثون أن مثل هذا الوصول يمكن أن يكشف تفاصيل البنية التحتية، وبيانات اعتماد واجهة برمجة التطبيقات، والوصول إلى المحفظة، ومقتنيات العملات الرقمية.
يقوم الملف الدفعي الأول بإنشاء دليل تخزين للباب الخلفي والمكونات ذات الصلة. ينشئ الملف الدفعي الثاني مهمة مجدولة يتم تشغيلها كل ساعة وتتنكر كمهمة بدء تشغيل OneDrive. تقرأ هذه المهمة المجدولة برنامج PowerShell النص البرمجي المشفر XOR من القرص وتفك تشفيره في الذاكرة وتنفذه. بعد التنفيذ، تحذف البرمجية الخبيثة الاحتيالية للتشفير نفسها لإزالة علامات الاختراق.
أدلة تُظهر استخدام برمجيات خبيثة مولدة بالذكاء الاصطناعي في عمليات الاحتيال بالعملات الرقمية
أفاد باحثو Check Point أن الباب الخلفي لـ PowerShell يُظهر مؤشرات قوية على التطوير بمساعدة الذكاء الاصطناعي. يستخدم النص البرمجية تقنيات فك تشفير ثقيلة، بما في ذلك ترميز السلسلة القائم على العمليات الحسابية، وإعادة بناء سلسلة وقت التشغيل، والتنفيذ من خلال Invoke-Expression.
بالإضافة إلى ذلك، تشتمل البرمجية الخبيثة على وثائق منظمة وتخطيط معياري للرموز البرمجية. ووصفها الباحثون بأنها غير نمطية بالنسبة للبرمجيات الخبيثة التقليدية التي يتم تأليفها يدويًا من قبل مشغلي عمليات الاحتيال في مجال التشفير.
تعليق محدد داخل النص البرمجي “#
قبل تنفيذ وظائفها الأساسية، تقوم البرمجية الخبيثة بفحص الأجهزة والبرمجيات ونشاط المستخدم للكشف عن بيئات التحليل. ثم تقوم بعد ذلك بإنشاء معرّف مضيف فريد من نوعه. واعتمادًا على مستوى الامتيازات المتاحة على النظام المخترق، تتبع البرمجية الخبيثة مسارات تنفيذ مختلفة.
بمجرد تنشيطه، يتصل الباب الخلفي بشكل دوري بخادم القيادة والتحكم (C2). يرسل البيانات الوصفية الأساسية للمضيف ويستطلع رأي الخادم على فترات عشوائية. إذا قام الخادم بإرجاع كود PowerShell، تقوم البرمجية الخبيثة بتحويل الاستجابة إلى كتلة نصية وتنفيذها بشكل غير متزامن باستخدام وظائف الخلفية.
الإسناد ومؤشرات التسوية
أرجعت Check Point الفضل في حملة Konni إلى العديد من أوجه التداخل مع نشاطات سابقة متعلقة بعمليات احتيال مشفرة. ولاحظ الباحثون أوجه تشابه في تنسيقات المشغّل، وأسماء ملفات الاستدراج، وبعض اصطلاحات التسمية للنصوص البرمجية، وهياكل سلاسل التنفيذ. تتشابه هذه السمات أيضًا مع تلك الخاصة بقوات كوني السابقة التي لوحظت خلال الحملات السابقة.
كما نشر الباحثون أيضًا مؤشرات الاختراق المتعلقة بالحملة لمساعدة المدافعين على تحديد الإصابات ومعالجتها. تهدف هذه العلامات إلى مساعدة المؤسسات على تأمين الأنظمة الحساسة، خاصةً تلك المتعلقة بتطوير سلاسل الكتل والبنية التحتية للعملات الرقمية.
