اكتشف باحثون من كوريا الجنوبية أن مجموعة القرصنة الكورية الشمالية المعروفة باسم Kimsuky قد طورت أساليبها في هجمات التصيد، حيث بدأت باستخدام تكتيكات تصيد خالية من البرمجيات الخبيثة، مما يجعلها قادرة على تفادي أنظمة الكشف الرئيسية مثل EDR.

أساليب جديدة لتفادي الكشف

تُعرف مجموعة Kimsuky بنشاطها منذ سنوات، لكنها الآن تستخدم استراتيجيات جديدة لاختراق حسابات الباحثين والمؤسسات التي تركز على الشؤون الكورية الشمالية، ومن أبرز التغييرات في أساليب المجموعة التحول في استخدام خدمات البريد الإلكتروني.

في السابق، اعتمدت المجموعة على خدمات البريد اليابانية في حملات التصيد الخاصة بها.

لكن التقرير يشير إلى أنها انتقلت الآن إلى استخدام خدمات البريد الإلكتروني الروسية، مما يزيد من صعوبة تحديد الاتصالات المشبوهة.

تصاعد الهجمات الخالية من البرمجيات الخبيثة

تركز المجموعة بشكل متزايد على الهجمات التي لا تحتوي على برمجيات خبيثة. تعتمد هذه الهجمات على روابط تصيدية فقط، ما يجعل اكتشافها أكثر صعوبة.

تصنع المجموعة رسائل تصيد إلكترونية مقنعة تنتحل شخصيات جهات مختلفة، بما في ذلك:

خدمات الوثائق الإلكترونية مثل "الأمين الوطني"

مدراء أمن البريد الإلكتروني في شركات بوابات الإنترنت

مؤسسات عامة

مؤسسات مالية

وغالبًا ما تتضمن رسائل التصيد مواضيع متعلقة بالشؤون المالية لجذب انتباه المستخدمين وزيادة احتمال تفاعلهم.

مواقع تصيد متقنة

لوحظ استخدام المجموعة لنطاقات من خدمة تسجيل النطاقات المجانية الكورية MyDomain[.]Korea لإنشاء مواقع تصيد متقنة. كما توضح تقارير Genians أن المجموعة اعتمدت على نطاقات يابانية وأمريكية في أبريل 2024، ثم تحولت إلى خدمات كورية في مايو، وبحلول سبتمبر استخدمت نطاقات روسية.

تفاصيل تقنية حول الهجمات

تم اكتشاف نطاقات روسية مزيفة مسجلة عبر جهة إرسال بريد تصيدي تُعرف باسم "star 3.0".

يظهر اسم الملف على شاشة VirusTotal كـ "1.doc".

تتضمن أسماء الكشف في بعض خدمات مكافحة البرمجيات الخبيثة الكلمة المفتاحية "Kimsuky".

تم العثور على أداة إرسال بريد بعنوان "star 3.0" على موقع جامعة Evangelia الأمريكية. وربطت تقارير سابقة هذه الأداة بمجموعات تهديد كورية شمالية.

التوصيات لمواجهة التهديدات

تُبرز التكتيكات المتطورة لمجموعة Kimsuky أهمية تعزيز اليقظة الأمنية لدى الأهداف المحتملة. ويوصي خبراء الأمن السيبراني بما يلي:

التدقيق في عناوين البريد الإلكتروني للمرسلين، خاصة تلك التي تستخدم نطاقات روسية.

التحقق من صحة الاتصالات الرسمية، خصوصًا المتعلقة بالشؤون المالية.

تطبيق أنظمة EDR قوية.

تحديث السياسات الأمنية بانتظام بناءً على أحدث المعلومات الاستخباراتية المتعلقة بالتهديدات.

مع استمرار مجموعة Kimsuky في تطوير أساليبها، يتوجب على المؤسسات والأفراد البقاء في حالة تأهب لمثل هذه الهجمات المتقدمة لحماية المعلومات الحساسة والحفاظ على سلامة الأمن السيبراني.