التوظيف الوهمي والمقابلات أصبحت سلاحًا جديدًا، هاكرز كوريا الشمالية يستهدفون أكثر من 3100 عنوان IP في صناعة التشفير

المنظمة الكورية الشمالية للهاكرز PurpleBravo تعود من جديد. بعد سرقتها لأكثر من 2 مليار دولار من سوق العملات المشفرة في عام 2025، أطلقت هذه المنظمة في 22 يناير من هذا العام حملة توظيف زائفة واسعة النطاق، استهدفت أكثر من 3100 عنوان إنترنت مرتبط بشركات الذكاء الاصطناعي والعملات المشفرة والخدمات المالية، وشنّت هجمات تجسس إلكترونية عليها. هذه المرة، كانت وسيلة الدخول أكثر خفاءً: انتحال شخصية موظفي التوظيف أو المطورين، من خلال مقابلات تقنية وهمية تغري الباحثين عن عمل بتنفيذ تعليمات برمجية خبيثة على أجهزة الشركات.

التوظيف الوهمي كمصدر جديد للهجمات الاجتماعية

ابتكار أساليب الهجوم

تبدو عملية الهجوم الجديدة التي تنفذها PurpleBravo بسيطة، لكنها فعالة للغاية. يبدأ المهاجمون بانتحال شخصية موظفي التوظيف من شركات التشفير أو التكنولوجيا، والتواصل مع الباحثين عن عمل. ثم، بزعم إجراء مقابلة تقنية، يطلبون من الهدف إكمال سلسلة من المهام التي تبدو معقولة: مراجعة الشيفرة، استنساخ مستودعات الكود، أو إتمام مهام برمجية. أثناء تنفيذ هذه المهام، يكون الهدف في الواقع ينفذ شيفرة خبيثة أعدها المهاجمون بعناية.

الذكاء في هذه الطريقة يكمن في استغلال الحالة النفسية للباحث عن عمل. تبدو المهام المقابلة معقولة تمامًا، وغالبًا ما يكون الباحثون متحمسين لإظهار قدراتهم، مما يقلل من حذرهم. بالنسبة للشركات، غالبًا ما يكون الموظفون المستهدفون ذوو مهارات تقنية معينة، وغالبًا ما يمتلكون صلاحيات نظام أعلى.

التمويه والبنية التحتية

وفقًا لتحليل مؤسسة الأبحاث الأمنية Recorded Future، استخدمت PurpleBravo عدة هويات مزيفة، من بينها هويات زائفة من أوكرانيا. كما نشرت نوعين رئيسيين من أدوات التروجان عن بُعد:

• PylangGhost: قادر على سرقة بيانات الاعتماد وملفات تعريف الارتباط تلقائيًا
• GolangGhost: يمتلك أيضًا قدرة على سرقة بيانات الاعتماد

بالإضافة إلى ذلك، طور المهاجمون أداة مبرمجة خصيصًا لبيئة Microsoft Visual Studio Code، من خلال استنبات خلفية في مستودعات Git خبيثة. بنيتهم التحتية متطورة جدًا، حيث يستخدمون خدمة Astrill VPN و17 مزود خدمة لاستضافة خوادم البرمجيات الخبيثة.

تهديدات خاصة لصناعة التشفير

لماذا تعتبر صناعة التشفير هدفًا رئيسيًا

من بين أكثر من 3100 هدف في هذا الهجوم، تشكل شركات العملات المشفرة نسبة كبيرة. وهذا ليس صدفة. غالبًا ما يمتلك موظفو صناعة التشفير مفاتيح خاصة، وصلاحيات الوصول إلى المحافظ، وأصول عالية القيمة، وإذا تم اختراقهم، يمكن للمهاجمين نقل الأموال مباشرة. بالإضافة إلى ذلك، غالبًا ما تكون دفاعات شركات التشفير أقل تطورًا مقارنة بالمؤسسات المالية التقليدية.

من بين 20 جهة متضررة تم التأكيد عليها، تقع في جنوب آسيا، أمريكا الشمالية، أوروبا، الشرق الأوسط، وأمريكا الوسطى، مما يدل على أن PurpleBravo لديه أهداف واضحة على مستوى العالم.

إشارات تهديد إضافية

كما اكتشف الباحثون الأمنيون أن قنوات Telegram ذات الصلة تبيع حسابات LinkedIn و Upwork، وأن المهاجمين تفاعلوا مع منصة MEXC للتداولات المشفرة. هذا يشير إلى أن المهاجمين قد يكونون بصدد بناء سلسلة إمداد كاملة: الحصول على معلومات هوية حقيقية، إنشاء ملفات تعريف توظيف وهمية، تنفيذ الهجمات، وتحقيق أرباح من الأصول المسروقة.

كيف تتعامل الشركات مع الأمر

نقاط الدفاع الأساسية

بالنسبة لشركات التشفير والتكنولوجيا، يتطلب التصدي لهذا النوع من الهجمات استراتيجيات دفاع متعددة الطبقات:

• التحقق من عملية التوظيف: تأكيد دعوات المقابلة عبر القنوات الرسمية، واستخدام البريد الإلكتروني الخاص بالشركة بدلاً من البريد الخارجي
• تدريب الموظفين: توعية الفنيين بأساليب الهجمات الاجتماعية الجديدة، بحيث يظلوا يقظين حتى لو كانت المهام تبدو معقولة
• مراجعة الشيفرة: فحص أي شيفرة تأتي من مصادر خارجية بدقة، وعدم تنفيذها مباشرة في بيئة الإنتاج
• التحكم في الوصول: تقييد صلاحيات أجهزة الموظفين، واستخدام بيئات افتراضية معزولة للتعامل مع المهام غير الموثوق بها
• المراقبة والتنبيه: نشر أدوات الكشف والاستجابة على النقاط النهائية (EDR)، لمراقبة الوصول غير المصرح به للشهادات والاتصالات الشبكية

الخلاصة

تمثل المقابلات الوهمية وسيلة جديدة للهجمات الاجتماعية التي يستخدمها القراصنة. مقارنة بالبريد الإلكتروني الاحتيالي التقليدي، فإن هذه الطريقة أكثر استهدافًا، وتستغل الحالة النفسية للباحث عن عمل والثغرات في عمليات التوظيف في الشركات. بالنسبة لصناعة التشفير، فإن نشاط PurpleBravo المستمر يدل على أن المهاجمين الكوريين الشماليين لا يزالون يرون هذه الصناعة كهدف رئيسي. يجب على الشركات أن تدرك أن الموظفين ذوي المهارات العالية هم غالبًا أسهل نقطة اختراق، وأن الدفاع الفعّال يتطلب بناء عمليات تحقق كاملة من التوظيف وزيادة الوعي الأمني للموظفين. بالإضافة إلى ذلك، فإن مشاركة المعلومات والتعاون في المجتمع الصناعي أصبح أكثر أهمية من أي وقت مضى.