كتب : نيللي علي

اتهم المركز الوطني الأمريكي للأمن السيبراني قراصنة إلكترونيين من كوريا الشمالية باختراق شبكات الكومبيوتر للبنوك وأجهزة الصراف الآلي حول العالم لسرقة أموال عملائه .

وجاء ذلك في تقرير نشر مؤخرا وأعده المركز التابع لوزارة الأمن الداخلي الأمريكية بالتعاون مع مؤسسات حكومية أخرى مثل وزارة المالية ومكتب التحقيقات الفيدرالي، وزعم التقرير أن “كوريا الشمالية استأنفت منذ فبراير 2020 هجماتها على بنوك عدة دول بغرض إجراء تحويلات مالية دولية احتيالية وسحب نقدي عبر أجهزة الصراف الآلي.

من جهتها قالت شركة " فاير آي " تعليقا عن هذه الحادثة في الأسفل، فريد بلان، كبير خبراء التحليل في وحدة "مانديانت" لاستخبارات التهديدات السيبرانية التابعة لشركة "فاير آي" تتعقب وحدة "مانديانت" لاستخبارات التهديدات السيبرانية مجموعات متعددة تنفذ عمليات سيبرانية ذات دوافع مالية بالنيابة عن النظام الكوري الشمالي، كجزء من جهود كبرى لزيادة التدفقات المالية للحكومة كالتفاف على عقوبات الأمم المتحدة.

يركز تقرير "فاست كاش 2.0" (FastCash 2.0) على الاستهداف الجديد لأجهزة الصراف الآلي، ويتداخل هذا النشاط السيبراني الجديد مع أنشطة الاختراقات المصرفية ونشاط مجموعة "آيه بي تي 38" (APT38) المعروفة، وعلى الرغم من أننا لا نستطيع تأكيد أن تكتيكات "فاست كاش" تُعزى على وجه التحديد إلى مجموعة "آيه بي تي 38" (APT38) أو ذات دوافع منفردة.

حيث تطور هذه المجموعة وتخزن العديد من عائلات البرامج الضارة المصممة خصيصاً لاستهداف القطاعات المصرفية وجميع الأجهزة المتعلقة فيها.

حيث أبلغنا في هذا التقرير عن العديد من عائلات البرامج الضارة المدرجة ضمنه، بما في ذلك البرامج الضارة التي تم تحديدها تحت مسمى "CROWDEDFLOUNDER"، والتي نتبعها باسم "تشيز تراي" (CHEESETRAY)، وهي تقنية باب خلفي قوي مدرك للوكيل يمكنه العمل في كل من الوضع النشط وغير النشط، والذي لاحظنا استخدامه في العديد من عمليات الاختراق والتي استهدفت القطاعات البنكية من قبل مجموعة "آيه بي تي 38" (APT38). كما أننا نتعقب الأداة الضارة "الكتريك فيش" (ELECTRICFISH) تحت مسمى "فول هاوس" (FULLHOUSE)، وهي بروتوكول تحكم بالنقل (TCP) لتنفيذ الأوامر تدعم مصادقة الوكيل الأساسية ومصادقة بروتوكول (NTLM).

وعلى الرغم من ذلك، فقد لاحظنا البرامج الضارة والتي تحمل اسم "هوب لايت" (HOPLIGHT)، ونتتبعها نحن باسم "هانغ مان" (HANGMAN)، والتي تستخدمها مجموعة (TEMP.Hermit).

وفي نهاية الأمر، يمكننا القول بأن الأدوات المستخدمة والتي تم الإبلاغ عنها في الهجمات الأخيرة والتي استهدفت البنوك الأمريكية تسلط الضوء بشكل مباشر على كيفية قيام المجموعات والجهات المدعومة من النظام الكوري الشمالي وذات الدوافع المادية بمشاركة الأدوات والبرامج الخبيثة وموارد تطويرها مع المجموعات التجسس العالمية الأخرى المدعومة من أنظمة وحكومات دول".

يمكنك الاطلاع على التقرير كاملاً من خلال الرابط التالي: https://us-cert.cisa.gov/ncas/alerts/aa20-239a