كشفت تقارير أمنية حديثة أن مجموعة تهديد مرتبطة بحملة Contagious Interview الكورية الشمالية لجأت إلى استخدام تقنية الإخفاء (Steganography) داخل ملفات صور SVG لإخفاء حمولة خبيثة متطورة. هذه الحملة اعتمدت على إعلانات وظائف وهمية واختبارات برمجية مزيفة لاستدراج المطوّرين، حيث يؤدي تشغيل المشروع إلى تحميل حمولة من أربع مراحل مرتبطة ببرمجية OtterCookie، تشمل سرقة بيانات الاعتماد من المتصفحات ومحافظ العملات المشفّرة، سرقة الملفات، تشغيل حصان طروادة للتحكم عن بُعد عبر Socket.IO، إضافة إلى أداة لسرقة محتوى الحافظة.
استهداف المطوّرين عبر منصات التواصل المهني
أوضحت شركة Elastic Security Labs أن الحملة تم رصدها بعد استهداف أعضاء مجتمعها على منصة Slack بعروض عمل مزيفة، وهو أسلوب جديد لم يُوثّق سابقًا في هجمات مرتبطة بـ Contagious Interview. هذه ليست المرة الأولى التي يستخدم فيها القراصنة الكوريون منصات التواصل المهني، إذ سبق أن أنشأوا مساحة عمل على Slack لاستهداف مطوّر مكتبة npm الشهيرة Axios، كما استغلوا خوادم عامة على Discord ومجتمعات على GitHub وLinkedIn وTelegram لبناء مصداقية قبل تمرير البرمجيات الخبيثة.
آلية العدوى وإخفاء الحمولة داخل صور الأعلام
المستودعات التي وزّعها المهاجمون تضمنت مشاريع برمجية كاملة الوظائف، لكنها حملت في طياتها تعليمات خبيثة مخفية داخل صور أعلام SVG. هذه الصور، التي تبدو طبيعية مثل ملفات (AE.svg, AF.svg)، تحتوي على تعليقات HTML مشفّرة بـ Base64 تضم أجزاء الحمولة. يقوم ملف JavaScript باسم serverValidation.js بتجميع هذه الأجزاء وتنفيذها عند كل تشغيل للخادم، ما يضمن استمرار العدوى.
تطور برمجية OtterCookie وقدراتها
ظهرت برمجية OtterCookie لأول مرة في سبتمبر 2024 كأداة بسيطة لتنفيذ أوامر عن بُعد، لكنها تطورت إلى برنامج معياري قادر على سرقة بيانات واسعة النطاق. وفقًا لتقارير Microsoft، أصبحت قادرة على:
- فحص بيئات الأجهزة الافتراضية.
- تثبيت عملاء اتصال مثل Socket.IO للتواصل مع خوادم التحكم.
- تنفيذ أوامر شيل عشوائية وتحميل وحدات إضافية لجمع بيانات محددة.
- سرقة ملفات بامتدادات مرتبطة بأدوات الذكاء الاصطناعي مثل (.claude, .cursor, .gemini, .windsurf, .pearai, .llama).
هذا التطور يعكس سعي القراصنة إلى استهداف أدوات البرمجة الحديثة والذكاء الاصطناعي، ما يوسع نطاق البيانات المسروقة ويزيد من خطورة الهجمات.
تداعيات أمنية على سلاسل التوريد البرمجية
تشير هذه الحملة إلى أن المطوّرين ما زالوا هدفًا رئيسيًا للقراصنة الكوريين، حيث يمكن لاختراق فرد واحد أن يفتح الباب أمام هجمات واسعة على سلاسل التوريد البرمجية. نجاح هذه العمليات يبرز خطورة الاعتماد على منصات مفتوحة دون تدقيق أمني صارم، ويؤكد أن استغلال الثقة بين المطوّرين والمجتمعات التقنية أصبح أداة فعّالة بيد المهاجمين.
