قراصنة كوريون شماليون يستخدمون امتداد متصفح ضار للتجسس على حسابات البريد الإلكتروني. تنشر جهة تهديد تعمل مع مصالح متوافقة مع كوريا الشمالية امتدادًا ضارًا على متصفحات الويب المستندة إلى Chromium والتي يمكنها سرقة محتوى البريد الإلكتروني من Gmail و AOL.
عزت شركة الأمن السيبراني Volexity البرمجيات الخبيثة إلى مجموعة الأنشطة التي تسميها SharpTongue. والتي يقال إنها تشارك التداخلات مع مجموعة معادية يشار إليها علنًا باسم Kimsuky.
لدى SharpTongue تاريخ في تحديد الأفراد العاملين لمنظمات في الولايات المتحدة وأوروبا وكوريا الجنوبية الذين “يعملون في مواضيع تتعلق بكوريا الشمالية والقضايا النووية وأنظمة الأسلحة ومسائل أخرى ذات أهمية استراتيجية لكوريا الشمالية”. وفقًا للباحثين Paul Rascagneres و قال توماس لانكستر.
إن استخدام Kimsuky للتمديدات المارقة في الهجمات ليس بالأمر الجديد. في عام 2018. شوهد الممثل يستخدم مكون Chrome الإضافي كجزء من حملة تسمى Stolen Pencil لإصابة الضحايا وسرقة ملفات تعريف الارتباط وكلمات المرور الخاصة بالمتصفح.
لكن جهود التجسس الأخيرة مختلفة من حيث أنها تستخدم الامتداد. المسمى Sharpext. لسرقة بيانات البريد الإلكتروني. وأشار الباحثون إلى أن “البرنامج الضار يفحص البيانات مباشرة ويخرجها من حساب بريد الويب الخاص بالضحية أثناء تصفحه له”.
تتضمن المتصفحات المستهدفة.
متصفحات Google Chrome و Microsoft Edge و Naver’s Whale. مع البرامج الضارة لسرقة البريد المصممة لجمع المعلومات من جلسات Gmail و AOL.
يتم تثبيت الوظيفة الإضافية عن طريق استبدال ملفات التفضيلات والتفضيلات الآمنة في المتصفح بتلك المستلمة من خادم بعيد بعد اختراق ناجح لنظام Windows المستهدف.
نجحت هذه الخطوة من خلال تمكين لوحة DevTools داخل علامة التبويب النشطة لسرقة البريد الإلكتروني والمرفقات من صندوق بريد المستخدم. مع اتخاذ خطوات في نفس الوقت لإخفاء أي رسائل تحذير حول تشغيل ملحقات وضع المطور.
وصف Volexity الحملة بأنها “ناجحة تمامًا”. مستشهدة بقدرة المهاجم على “سرقة آلاف رسائل البريد الإلكتروني من عدة ضحايا من خلال نشر البرامج الضارة”.
وقال الباحثون: “هذه هي المرة الأولى التي يلاحظ فيها Volexity استخدام ملحقات خبيثة للمتصفح كجزء من مرحلة ما بعد الاستغلال للتسوية”. “من خلال سرقة بيانات البريد الإلكتروني في سياق جلسة المستخدم التي تم تسجيل دخولها بالفعل. يتم إخفاء الهجوم عن مزود البريد الإلكتروني. مما يجعل عملية الكشف صعبة للغاية.”
وصلت النتائج بعد عدة أشهر من ارتباط ممثل كيمسوكي بالتدخلات ضد المؤسسات السياسية الموجودة في روسيا وكوريا الجنوبية لتقديم نسخة محدثة من طروادة الوصول عن بعد المعروفة باسم كوني.
في الأسبوع الماضي.
قامت شركة الأمن السيبراني Securonix بإزالة مجموعة مستمرة من الهجمات التي تستغل أهدافًا عالية القيمة. بما في ذلك جمهورية التشيك وبولندا ودول أخرى. كجزء من حملة تحمل الاسم الرمزي STIFF # BIZON لتوزيع برامج Konni الضارة.
بينما تشير التكتيكات والأدوات المستخدمة في عمليات الاقتحام إلى مجموعة قرصنة كورية شمالية تسمى APT37. تشير الأدلة التي تم جمعها المتعلقة بالبنية التحتية للهجوم إلى تورط ممثل APT28 المتحالف مع روسيا (المعروف أيضًا باسم Fancy Bear أو Sofacy).
وقال الباحثون: “في النهاية. ما يجعل هذه الحالة بالذات مثيرة للاهتمام هو استخدام برامج Konni الضارة جنبًا إلى جنب مع أوجه التشابه بين Tradecraft لـ APT28”. مضيفين أنها قد تكون حالة مجموعة تتنكر في شكل مجموعة أخرى من أجل الخلط بين الإسناد والهروب من الاكتشاف.
قراصنة كوريون شماليون يستخدمون امتداد متصفح ضار للتجسس على حسابات البريد الإلكتروني. يمكنك متابعتنا على مواقع التواصل الاجتماعي.