الأمن السيبراني
#الأمن_السيبراني
#الذكاء_الاصطناعي
تحذير: برمجيات خبيثة بالذكاء الاصطناعي تستهدف مهندسي البلوكتشين
كشفت تقارير أمنية حديثة عن قيام مجموعة القرصنة الكورية الشمالية Konni باستخدام برمجيات خبيثة تم تطويرها بمساعدة الذكاء الاصطناعي لاستهداف المطورين والمهندسين في قطاع البلوكتشين، في تطور خطير لأساليب الهجمات السيبرانية.
تفاصيل الهجوم عبر ديسكورد
وفقاً للتحليلات التي أجراها باحثو شركة Check Point، تركز الحملة الأخيرة للمجموعة على أهداف في منطقة آسيا والمحيط الهادئ، حيث تم رصد البرمجيات الخبيثة في اليابان وأستراليا والهند. يبدأ الهجوم عندما يتلقى الضحية رابطاً مستضافاً على منصة Discord يحتوي على ملف مضغوط (ZIP).
يتضمن الملف المضغوط مستنداً تمويهياً (PDF) وملف اختصار ضار (LNK). عند تشغيل ملف الاختصار، يتم تفعيل مُحمل PowerShell يستخرج مستند DOCX وأرشيفاً يحتوي على "باب خلفي" (Backdoor)، بالإضافة إلى ملفات دفعية لتجاوز إجراءات الأمان.
وكما تظهر الصورة المرفقة التي تعرض الطُعم المستخدم في الهجوم، يوحي المستند بأن المخترقين يسعون لاختراق بيئات التطوير، مما قد يمنحهم وصولاً إلى أصول حساسة تشمل البنية التحتية، وبيانات اعتماد API، والوصول إلى المحافظ، وفي النهاية سرقة العملات المشفرة.
بصمات الذكاء الاصطناعي في الكود
ما يميز هذه الحملة هو الطبيعة التقنية للبرمجيات الخبيثة. حيث أشار الباحثون إلى أن برمجية PowerShell الخبيثة "تشير بقوة إلى تطوير بمساعدة الذكاء الاصطناعي بدلاً من البرمجيات التقليدية التي يكتبها المشغلون يدوياً".
استند الباحثون في استنتاجهم إلى عدة أدلة تقنية، منها:
- التوثيق الواضح والمنظم في أعلى السكريبت، وهو أمر غير معتاد في تطوير البرمجيات الخبيثة.
- التخطيط النظيف والنمطي للكود.
- وجود تعليقات مثل "# <– your permanent project UUID"، وهي عبارات مميزة للأكواد التي تولدها النماذج اللغوية الكبيرة (LLMs) لتوجيه المستخدم البشري.
آلية العمل والتخفي
تقوم البرمجية الخبيثة بإنشاء مهمة مجدولة تتنكر كـ "مهمة بدء تشغيل OneDrive" لضمان البقاء في النظام. وقبل التنفيذ، تجري فحوصات للأجهزة والبرامج ونشاط المستخدم للتأكد من أنها لا تعمل في بيئة تحليل أمني.
بمجرد تثبيت الباب الخلفي بالكامل على الجهاز المصاب، يتصل بشكل دوري بخادم القيادة والتحكم (C2) لإرسال بيانات المضيف الأساسية وتلقي الأوامر، مما يسمح للمهاجمين بتنفيذ أكواد إضافية وسرقة البيانات الحساسة.
الأسئلة الشائعة
هي مجموعة قرصنة كورية شمالية نشطة منذ عام 2014، يُعتقد أنها مرتبطة بمجموعات APT37 وKimsuky، وتستهدف منظمات عالمية.
يبدأ الهجوم برابط على Discord يحمل ملفاً مضغوطاً يحتوي على برمجيات خبيثة مخفية داخل ملفات اختصار ومستندات وهمية.
بسبب الهيكل المنظم للكود، والتعليقات التوضيحية الدقيقة التي تشبه مخرجات النماذج اللغوية، وتوجيهات التخصيص الموجودة داخل السكريبت.
التعليقات 0
سجل دخولك لإضافة تعليق
لا توجد تعليقات بعد. كن أول من يعلق!