مايكروسوفت تربط هجوم سلسلة التوريد على إن بي إم في ماسترا إيه آي بمجموعة سافاير سليت الكورية الشمالية
مايكروسوفت تربط اختراق إن بي إم بمجموعة كورية شمالية
نسبت مايكروسوفت هجوم سلسلة التوريد الأخير الذي استهدف نظام حزم ماسترا إيه آي إلى مجموعة سافاير سليت، وهي مجموعة قرصنة كورية شمالية تُتابَع أيضًا باسم بلو نوروف. قالت الشركة إن الحملة أضرت بأكثر من 140 حزمة إن بي إم بعد أن استولى المهاجمون على حساب مشرف ودفعوا تحديثات خبيثة إلى السجل الشائع الاستخدام لجافاسكربت.
في تحديث بتاريخ 19 يونيو، قالت مايكروسوفت إنها تملك "ثقة عالية" في ارتباط النشاط بمجموعة سافاير سليت، ووصفت المجموعة بأنها جهة تابعة للدولة الكورية الشمالية تستهدف بشكل أساسي القطاع المالي.
بدأ الهجوم بمخاطر حساب المشرف "إهنديرو" الذي كان يملك صلاحية النشر عبر بيئة حزم ماسترا. من هناك، أدرج المهاجمون تبعية خبيثة اسمها "إيزي-داي-جي إس" في أكثر من 140 حزمة ضمن نطاق @mastra. كان الاسم عبارة عن نسخ هجائي خاطئ لمكتبة داي جي إس الشرعية، وهي خدعة شائعة تهدف إلى الاندماج مع برامج موثوقة.
سلسلة تثبيت خبيثة أصابت أجهزة المطورين
بمجرد التثبيت، قامت التبعية المزيفة بتشغيل هوك ما بعد التثبيت الذي أسقط برمجية خبيثة على أنظمة المطورين. قالت مايكروسوفت إن الحمولة كانت تهدف إلى سرقة بيانات الاعتماد الحساسة ومفاتيح API وعلامات المصادقة ومحافظ العملات المشفرة.
ذكرت الشركة أن الشيفرة عطلت التحقق من شهادات TLS، وتواصلت مع بنية قيادة وتحكم تحت سيطرة المهاجمين، وحملت حمولة من المرحلة الثانية وقامت بتشغيلها كعملية مخفية ومنفصلة. كانت حمولة المرحلة الثانية برمجية سرقة معلومات متعددة الأنظمة صُممت للعمل على Windows و لينكس و macOS.
قالت مايكروسوفت إن الزرع جمع تفاصيل المضيف وسجل المتصفح والتطبيقات المثبتة والعمليات الجارية. كما فحص وجود 166 إضافة للمتصفح خاصة بمحافظ العملات المشفرة، بما في ذلك ميتا ماسك، فانتوم، كوين بيس واليت، بينانس وولت وترون لينك.
اختلفت أساليب الثبات بحسب نظام التشغيل، حيث استخدمت البرمجية مفاتيح Run في سجل Windows، و LaunchAgents في macOS، وخدمات systemd في لينكس.
قالت مايكروسوفت أيضًا إن الأنظمة التي تواصلت مع خوادم المهاجمين أظهرت لاحقًا نشاطًا يتوافق مع عمليات سابقة لسافاير سليت، بما في ذلك بوابة خلفية باورشيل، وآليات ثبات إضافية، واستثناءات في مايكروسوفت ديفندر، وخدمة Windows خبيثة منحت امتيازات SYSTEM.
"البرمجية الخلفية باورشيل، والتكتيكات، وبنية C2 قد استُخدمت من قبل سافاير سليت في حملات سابقة،" قالت مايكروسوفت.
كانت سافاير سليت مرتبطة سابقًا بسرقات عملات مشفرة، وإضافات متصفح خبيثة، وعروض عمل وهمية، وهجمات على سلسلة التوريد البرمجية صممت لسرقة بيانات الاعتماد والأصول المشفرة.
المصادر:
اقرأ المزيد من أخبار التقنية على مدونة Doppler VPN.