تعطيل حملة كورية شمالية سرقت أكثر من 400 مليون دولار

عطلت الحكومة الأمريكية حملة هندسة اجتماعية كورية شمالية تحمل اسم «FaceStealer»، مسؤولة عن سرقة أكثر من 400 مليون دولار من العملات المشفرة، بحسب موقع بليبينغ كمبيوتر. وأفاد الموقع بأن الحملة استمرت 18 شهرًا قبل مصادرة بنيتها السحابية، واستهدفت عاملين في العملات المشفرة والويب اللامركزي ومطوري البرمجيات مفتوحة المصدر، باستخدام أساليب شملت التزييف العميق وخدعة ClickFix.

ونقل بليبينغ كمبيوتر عن تنبيه لمكتب التحقيقات الفيدرالي أن المهاجمين استولوا على حسابات في تيليغرام ولينكد إن وسلاك وديسكورد، ثم استخدموها لدعوة الضحايا إلى اجتماعات فيديو. وخلال المكالمات، عرضوا تسجيلات لأشخاص يعرفهم المستهدفون، وسجلوا صور الضحايا سرًا لاستخدامها في استدراج آخرين. وحددت السلطات أكثر من 900 تسجيل بكاميرات الويب لعاملين في قطاع التقنية، وفق الموقع.

وبحسب شرح المكتب الذي أورده بليبينغ كمبيوتر، كان المهاجم يدعي وجود خلل تقني ويعرض رسالة خطأ مزيفة، ثم يوجه الضحية إلى رابط لتنزيل تحديث أو برنامج إصلاح خبيث. وتسرق البرمجيات بيانات العملات المشفرة وبيانات الدخول إلى منصات الاجتماعات، بينها زوم وغوغل ميت ومايكروسوفت تيمز، وتتيح الوصول إلى جهات الاتصال وتطبيقات التواصل. ونقل الموقع عن باحثين نسبتهم الحملة إلى مجموعة BlueNoroff، وتحديدهم 677 مستهدفًا في 58 دولة، مع تركيز على المؤسسين وكبار التنفيذيين.

وفي جانب مرتبط بالبرمجيات مفتوحة المصدر، أورد بليبينغ كمبيوتر أن تنبيه المكتب وصف اختراق مشرف مكتبة جافاسكريبت واسعة الاستخدام بعد استدراجه إلى اجتماع مزيف. وأوضح أن الاكتشاف السريع أحبط الهجوم، بينما أكد المكتب محاولات أخرى استهدفت مطورين في منظومتي npm وحزم Rust.