كاسبرسكي لاب تحلل حملة تجسس الكتروني نشطة تستهدف مؤسسات في كوريا الجنوبية

نشر الفريق البحثي لكاسبرسكي لاب تقريرا يحلل فيه حملة تجسس الكتروني نشطة تستهدف بالدرجة الأولى المراكز البحثية في كوريا الجنوبية.

وتعد الحملة التي أطلق عليها اسم Kimsuky محدودة ومستهدفة للغاية. وفقا للتحليل، اهتم المهاجمون باستهداف 11 مؤسسة تقع في كوريا الجنوبية ومؤسستين في الصين، منها معهد سيجونغ، المعهد الكوري للتحليلات الدفاعية (KIDA)، وزارة التوحيد الكورية الجنوبية، Hyundai Merchant Marine ومنظمة مؤيدي التوحد الكوري.

وتعود العلامات الأولى لهذا الخطر إلى الثالث من أبريل 2013، كما أن النماذج الأولى لبرناج حصان طروادة Kimsuky ظهرت في 5 مايو 2013. ويتضمن هذا البرنامج التجسسي البدائي عدة أخطاء في الترميز ويتواصل مع عدة أجهزة مصابة عبر الشبكة البلغارية المتركزة في خادم بريد مجاني (mail.bg).

على الرغم من أن آلية التوصيل الأولية لا تزال مجهولة، يرى باحثو كاسبرسكي لاب أن برنامج Kimsuky ينتشر عبر الرسائل الالكترونية التصيدية المستهدفة وله القدرة على القيام بالإجراءات التجسسية التالية: التقاط النقرات على لوحة المفاتيح، تجميع القوائم والأدلة، التحكم على بعد وسرقة المستندات HWP (المتعلقة بتطبيق كوري جنوبي لمعالجة الكلمات من حزمة Hancom Office، المستخدمة بكثافة من قبل السلطات المحلية). ويستخدم المهاجمون إصدارا معدلا من تطبيق TeamViewer للوصول عن بعد ليعمل بصفة برنامج خبيث يعترض الملفات من الأجهزة المصابة.

ويتضمن Kimsuky برنامجا خبيثا مصمما لسرقة ملفات HPW، ما يدل على أن هذه المستندات من بين أهم أهداف المجموعة.

وتتيح الأدلة التي وجدها خبراء كاسبرسكي لاب الجزم بأن مصدر الحملة كوري شمالي. أولا لأن الأهداف تعبر عن نفسها – حيث تجري الجامعات الكورية الجنوبية أبحاثا حول القضايا الدولية وتقوم بوضع سياسات دفاعية للحكومة؛ شركة النقل البحري الوطنية؛ المنظمات المؤيدة للتوحد الكوري.

ثانيا- وجود كلمات كورية ضمن خط التعليمات البرمجية (على سبيل المثال، يمكن ترجمة بعضها بالهجمة أو الإتمام).

ثالثا- عنوانان بريديان استخدما في استلام تقارير حول الوضع ونقل بيانات النظام المصاب بواسطة المرفقات وهما [email protected] و [email protected] تم تسجيلهما باسمين تضمن كل منهما على "kim": kimsukyang وKim asdfa. على الرغم من أن بيانات التسجيل لا توفر معلومات حول المهاجمين، إلا أن عناوين IP لهم تشير إلى ضلوعهم في ذلك: هناك 10 عناوين IP وجميعها تقع في نطاقات ضمن Jilin Province Network و Liaoning Province Network في الصين. ويعتقد أن موفري خدمة الانترنت في هاتين الولايتين يقومون بتوفير الخدمة في بعض أجزاء كوريا الشمالية.

وهناك خاصية جيوسياسية شيقة أخرى حول برنامج Kimsuky وتكمن في تعطيل الأدوات الأمنية التابعة لAhnLab، وهي شركة كورية جنوبية تتخصص في مكافحة البرمجيات الخبيثة.

وقد كشفت منتجات كاسبرسكي لاب وعطلت مفعول هذه التهديدات المصنفة تحت اسم Trojan.Win32.Kimsuky، واكتشفت مكونات TeamViewer المعدلة والمصنفة تحت اسم Trojan.Win32.Patched.ps.