تنقل نايلة الصليبي في"النشرة الرقمية" كشف تحالف Ransom-ISAC الدُّوَليّ برمجية خبيثة متطورة أُطلق عليها اسم Omnistealer،تختبئ وراءها مجموعة القراصنة الكورية الشمالية "لازاروس"، التي تستخدم تقنية سلاسل الكتل"البلوك تشين" ملاذًا آمنًا لإخفاء برمجياتها الخبيثة وللاختباء وللاختراق وسرقة البيانات.
برمجية خبيثة لا يمكن حذفها كشفت تحقيقات أمنية حديثة عن برمجية خبيثة جديدة تُدعى Omnistealer تتسلل إلى بنية تقنية "البلوك تشين"، العمود الفقري للعملات الرقمية.نُسبت هذه البرمجية إلى قراصنة كوريين شماليين مرتبطين بمجموعة Lazarus، وأنها تستخدم بيئة سلاسل الكتل العامة "البلوك تشين" كملاذ تقني شبه مستحيل الإزالة أو التعطيل.
كيف تختبئ Omnistealer داخل معاملات "البلوك تشين"؟
خلافًا للأساليب التقليدية التي تعتمد على خوادم أو ملفات مشتركة لاستضافة الحمولة الخبيثة، اختار مطورو Omnistealer إخفاء الشفرة داخل المعاملات العامة على شبكات مثل Tron وAptos وBinance Smart Chain. بعض أنواع معاملات البلوك تشين تسمح بإضافة بيانات إضافية صغيرة، مثل الملاحظات أو البيانات الوصفية أو إعدادات العقود الذكية. استغل القراصنة هذه المساحة لحقن نصوص مشفرة، وأوامر تحكم، وأجزاء برمجيات خبيثة تُستخدم لاحقًا لتجميع الفيروس وتفعيل حمولته النهائية أثناء الهجوم. بهذا الأسلوب، تصبح سلسلة الكتل نفسها جزءًا من البنية التحتية للهجوم، وليست مجرد بيئة مالية أو تقنية محايدة.
"بلوك تشين": من أداة مقاومة للرقابة إلى حصن للجريمة
تعتمد تقنية "البلوك تشين" على سجل موزع غير قابل للتعديل، حيث تُعتبر المعاملة، بمجرد تسجيلها، جزءًا دائمًا من السجل العام. هذا المبدأ صُمم لمقاومة الرِّقابة وضمان النزاهة والشفافية، لكنه تحوّل هنا إلى نقطة قوة لمصلحة المهاجمين.
ففي حين يمكن للجهات المختصة حذف ملف خبيث من خادم، أو إيقاف موقع، أو تعطيل مستودع على GitHub، تبقى المعاملات على سلاسل مثل Tron أو Binance Smart Chain غير قابلة للحذف عمليًا.
يشير باحثو شركة Malwarebytes المتخصصة في الأمن السيبراني وامن المعلومات إلى أن النطاقات يمكن إلغاؤها، والمستودعات يمكن حذفها، لكن التغييرات على شبكات البلوك تشين العامة لا يمكن التراجع عنها. نظريًا، يمكن تعديل البيانات عبر ما يُعرف بـ "هجوم ٥١%" أو "Double-spending" حيث يسيطر طرف واحد على أكثر من نصف قدرة الشبكة الحاسوبية، غير أن تنفيذ هذا السيناريو على شبكات كبيرة يكاد يكون مستحيلًا عمليًا. بهذا، يحوّل قراصنة الإنترنت السجلات العامة إلى بنية تحتية مرنة، مقاومة للرقابة، يصعب على المدافعين تفكيكها أو تعطيلها.
تكتيك يعود إلى الواجهة
ظهور Omnistealer ليس الحادثة الأولى من نوعها. العام ٢٠٢٥، استخدمت مجموعة كورية شِمالية أخرى تُعرف بالاسم الرمزي UNC5342 عقودًا ذكية على شبكتي Ethereum وBinance Smart Chain لإخفاء شفرات خبيثة.
العقود الذكية، المنتشرة في عالم التمويل اللامركزي، هي برامج مؤتمتة تُنفَّذ مباشرة على سلسلة الكتل. استغلالها كقناة لإخفاء برمجيات خبيثة كان تكتيكًا مبتكرًا آنذاك، ويبدو أنه ألهم مجموعات إجرامية أخرى لتطوير أساليب مشابهة، من بينها Omnistealer.
التحقيقات التي أجراها "مكتب التحقيقات الفيدرالي" ربطت نشاط Omnistealer بمجموعة Lazarus، المعروفة باستهدافها المكثف لمنصات العملات المشفرة وبراعتها في استغلال خصائص البلوك تشين لأغراض مالية واستخباراتية لمصلحة كوريا الشمالية.
Omnistealer: لص رقمي يستهدف كل شيء
حَسَبَ تحقيقات Ransom-ISAC بالتعاون مع Crystal Intelligence، صُممت Omnistealer بشكل أساسي كلص بيانات واسع النطاق. يستهدف هذا البرنامج الخبيث:
- أكثر من اثني عشر برنامجًا لإدارة كلمات المرور، مثل LastPass
- المتصفحات الرئيسية، مثل Chrome وFirefox
- خِدْمَات التخزين السحابي، مثل Google Drive
- أكثر من 60 محفظة عملات رقمية تعمل عبر إضافات المتصفح، مثل MetaMask وCoinbase
تحاول البرمجية الخبيثة جمع أكبر قدر ممكن من البيانات الحساسة من على أجهزة الضحايا: أسماء المستخدمين، كلمات المرور، ملفات تعريف الارتباط، المفاتيح الخاصة، ورموز الوصول، ما يتيح للقراصنة السيطرة على الحسابات الرقمية والأصول المالية المشفرة.
تشير تقديرات مركز Ransom-ISAC إلى احتمال اختراق أكثر من ٣٠٠ ألف مجموعة من بيانات الاعتماد، في هجمات طالت قطاعات متعددة تشمل التمويل، والخدمات اللوجستية، والتصنيع، والترفيه، وتوصيل الطعام، إضافة إلى بعض الجهات الحكومية.
اصطياد الضحايا بوظائف وهمية
أما عن طريقة الوصول الأولية إلى الأجهزة المستهدفة، فيستخدم القراصنة أسلوبًا اجتماعيًا متقنًا يعتمد على إعلانات وظائف وهمية لمطوري البرمجيات عبر منصتي LinkedIn وUpwork.يُقنِع المخترقون الضحايا بتحميل مستودع برمجي على GitHub بحجة اختبارهم أو إشراكهم في مشروع تطوير. إلا أن هذا المستودع يحتوي على شيفرة خبيثة تتصل لاحقًا بسلسلة الكتل لاسترداد مكونات Omnistealer وتفعيلها. بمجرد نجاح العملية، تبدأ البرمجية في مسح الجهاز وسرقة كل ما يمكن الوصول إليه من معلومات وبيانات اعتماد.
كيف تُغسَل الأموال المسروقة بعد ذلك؟
في حال الاستيلاء على الأموال من محافظ العملات، تبدأ مرحلة ما يُعرف بـ"تبييض الأموال". ولتنفيذ هذه العملية، تعتمد كوريا الشمالية على شركاء خارجيين. ومن بين هؤلاء، شركة مالية فيتنامية تُدعى "Quangvietdnbg"»، استُخدمت كمنصة رئيسية لغسل الأموال.
الآلية بسيطة: تروّج الشركة لنفسها عبر منصة "فيسبوك" باعتبارها خدمة موثوقة واحترافية لتحويل العملات المشفرة، ثم تنقل التواصل والعمليات إلى تطبيق "تيليغرام". وفي الخفاء، تحول ما يقارب ٢٫٥ مليون يورو، وهي أموال يُعتقد أن عملاء كوريين شماليين قد استولوا عليها.
وقد ساهم ضعف الرِّقابة على سوق العملات المشفرة في فيتنام في تسهيل هذه الأنشطة. فغياب إطار رسمي منظم للتداول أوجد بيئة تجارية تفتقر إلى الشفافية، حيث تنتشر المعاملات المباشرة بين الأفراد. وهذا ما يجعلها بيئة مثالية لإنشاء قنوات سرية وفعالة لغسل الأموال، بعيدًا عن رِقابة المؤسسات المالية التقليدية.
تكشف حالة Omnistealer عن مرحلة جديدة في توظيف تقنية "البلوك تشين" في الهجمات السيبرانية، حيث لم تعد الشبكات اللامركزية مجرد هدف، بل تحولت إلى جزء من البنية التحتية للهجوم نفسه.
يمكن الاستماع لـ "بودكاست النشرة الرقمية" على مختلف منصات البودكاست. الرابط للبودكاست على منصة أبل
للتواصل مع نايلة الصليبي عبر صفحة برنامَج"النشرة الرقمية"من مونت كارلو الدولية على لينكد إن وعلى تويتر salibi@ وعلى ماستودون وبلوسكاي عبر موقع مونت كارلو الدولية مع تحيات نايلة الصليبي
