كشفت تقارير أمنية حديثة أن مجموعة بلو نوروف المرتبطة بكوريا الشمالية طورت مجموعة أدوات تصيّد جديدة تستهدف مستخدمي منصات الاجتماعات الافتراضية مثل زووم ومايكروسوفت تيمز. هذه الحملة، التي وُصفت بأنها “منصة استحواذ على الضحايا”، تعتمد على استغلال الثقة بين الأفراد عبر حسابات مخترقة في تطبيق تيليغرام، حيث يتم إرسال روابط اجتماعات مزيفة من جهات يثق بها الضحية مسبقاً. الهدف النهائي هو التعرف على محافظ العملات الرقمية المثبتة على أجهزة الضحايا قبل تسليم البرمجيات الخبيثة، ما يسمح بانتقاء الضحايا ذوي القيمة العالية.
أسلوب الاستهداف عبر المنصات
تبدأ العملية عادةً برسالة من حساب تيليغرام مخترق لشخصية معروفة في مجال العملات الرقمية، تتضمن رابطاً عبر خدمة Calendly يقود إلى صفحة مزيفة تشبه زووم أو تيمز. بمجرد دخول الضحية، يُطلب منه منح صلاحيات للكاميرا، ليتم بث الفيديو مباشرة إلى لوحة تحكم المهاجمين عبر تقنيات WebRTC. اللافت أن الفيديو الذي يظهر للضحية ليس بثاً حياً، بل مقطع مُعد مسبقاً باستخدام صور مولدة بالذكاء الاصطناعي عبر أدوات مثل ChatGPT، ما يمنح المشهد مصداقية إضافية ويزيد من احتمالية وقوع الضحية في الفخ.
تفاصيل السلسلة الهجومية
تتضمن الحملة نسختين رئيسيتين: واحدة تستهدف مستخدمي ويندوز وأخرى لمستخدمي macOS.
- في حالة ويندوز، يتم تشغيل أوامر PowerShell لتحميل وتنفيذ ملفات VBScript، تعطيل برنامج Microsoft Defender، ثم فحص ملفات المتصفح بحثاً عن بيانات جلسات تيليغرام أو إضافات المحافظ الرقمية مثل MetaMask.
- أما في macOS، فيتم تنزيل مثبت مزيف لتيمز أو زووم، يعمل على استخراج بيانات حساسة مثل مفاتيح iCloud Keychain وإرسالها إلى قناة تيليغرام خاصة بالمهاجمين، إضافة إلى نشر برمجيات خبيثة لاحقة.
دوافع الاستهداف واختيار المنصات
أوضح خبراء الأمن أن التركيز على زووم وتيمز دون غيرهما يعود إلى عدة عوامل:
- طبيعة هذه التطبيقات التي تعتمد على عملاء سطح المكتب، ما يجعل حيلة “تحديث SDK” أكثر إقناعاً.
- انتشارها الواسع بين المستثمرين ورواد الأعمال في قطاع العملات الرقمية، على عكس Google Meet الذي يُستخدم غالباً في اتصالات العملاء.
- سهولة تقليد الروابط الأصلية لهذه المنصات عبر أسلوب typosquatting، مثل استخدام نطاقات فرعية شبيهة بـ “us.zoom.06webin.us”.
تداعيات أمنية أوسع
تكشف هذه الحملة عن تحول نوعي في استراتيجيات الهجمات السيبرانية، حيث لم يعد التركيز مقتصراً على البنية التحتية التقنية، بل امتد إلى استهداف الأفراد الذين يمتلكون صلاحيات الوصول إلى الأصول الرقمية. استمرار تطوير هذه الأدوات من قبل بلو نوروف يعكس إدراكاً متزايداً لقيمة الهوية والعلاقات وقنوات الاتصال كعناصر أساسية في منظومة الأمن السيبراني.
