قراصنة لازاروس من كوريا الشمالية يتسللون إلى npm بحزم مزيفة لاختراق المطورين ومستخدمي العملات المشفرة

مجموعة Lazarus Hacking مرتبطة بحزم npm الخبيثة

ظهرت موجة جديدة من الهجمات الإلكترونية المرتبطة بمجموعة القرصنة الشهيرة Lazarus، مع استخدام ست حزم npm ضارة لاستهداف المطورين غير المنتبهين.

تم اكتشاف هذه الحزم من قبل فريق البحث في Socket، وهي مصممة لسرقة المعلومات الحساسة، بما في ذلك بيانات الاعتماد وبيانات العملات المشفرة.

وقد تم تنزيل الكود الخبيث أكثر من 330 مرة، مما يسلط الضوء على حجم التهديد.

تزايد عدد حزم npm الضارة

إن الحزم الست التي تم تحديدها في الهجوم تحمل تشابهًا مذهلاً مع الحزم المشروعة، وذلك باستخدام تكتيكات التلاعب بالأخطاء المطبعية لخداع المطورين لتثبيتها.

تم تصميم هذه الحزم، بما في ذلك "is-buffer-validator" و"auth-validator"، للتسلل إلى الأنظمة وسرقة البيانات المهمة، مثل بيانات اعتماد تسجيل الدخول ومعلومات محفظة العملات المشفرة وبيانات المتصفح.

بالإضافة إلى ذلك، تحتوي البرامج الضارة التي تنشرها هذه الحزم أيضًا على أبواب خلفية للوصول عن بعد، مما يؤدي إلى إنشاء ثغرات أمنية طويلة الأمد في الأنظمة المتأثرة.

تمت تسمية حزم npm المتأثرة بطريقة تجعلها تبدو شرعية للمطورين الذين يبحثون عن أدوات مساعدة مشتركة.

تتضمن الباقات:

• مُتحقق المخزن المؤقت :نسخة ضارة من مكتبة "is-buffer" الشهيرة المستخدمة لسرقة بيانات الاعتماد.
• محقق يوجاي: مكتبة تحقق وهمية مصممة لجمع البيانات الحساسة.
• حزمة مقبض الحدث: متخفيًا في صورة معالج أحداث، فهو في الواقع ينشر بابًا خلفيًا.
• محقق المصفوفة الفارغة: حزمة احتيالية لسرقة بيانات اعتماد المتصفح والنظام.
• تبعية حدث التفاعل: يتظاهر بأنه أداة مساعدة لـ React، ويقوم بتنفيذ البرامج الضارة لاختراق الأنظمة.
• مُتحقق التفويض: محاكاة أدوات المصادقة، تم تصميم هذه الحزمة لسرقة بيانات تسجيل الدخول.

استهداف المطورين ومستخدمي العملات المشفرة

ورغم أن الهجوم يستهدف المطورين، فإنه يشكل أيضًا خطرًا كبيرًا على مستخدمي العملات المشفرة.

يستهدف البرنامج الخبيث ملفات تعريف المتصفح على Chrome وBrave وFirefox، ويبحث عن معلومات تسجيل الدخول المخزنة وملفات تعريف الارتباط والتاريخ.

في نظام macOS، يحاول استخراج بيانات سلسلة المفاتيح.

بالإضافة إلى ذلك، تمت برمجة الحزم لجمع بيانات محفظة العملات المشفرة، واستهداف محافظ Solana وExodus على وجه التحديد.

وفقا لتقرير المقبس يقوم البرنامج الخبيث بالبحث بشكل منهجي عبر أدلة النظام، واستخراج ملفات مثل "بيانات تسجيل الدخول" و"id.json" من محافظ Solana، كل هذا أثناء العمل دون أن يتم اكتشافه.

ويوضح التقرير،

"تم تصميم الكود لجمع تفاصيل بيئة النظام، بما في ذلك اسم المضيف ونظام التشغيل ومجلدات النظام."

كود يسمح بتنزيل برامج ضارة. (المصدر: Socket)

تكتيكات مجموعة لازاروس المميزة

ورغم أن نسب هذا الهجوم إلى جماعة لعازر لا يزال يمثل تحدياً، فإن تاريخ الجماعة من العمليات المماثلة يثير القلق.

اشتهرت Lazarus منذ فترة طويلة باستهداف سجلات البرامج مثل npm وGitHub وPyPI لنشر التعليمات البرمجية الضارة.

ارتبطت الحملات السابقة بهجمات رفيعة المستوى، بما في ذلك عملية سرقة ضخمة للعملات المشفرة بقيمة 1.5 مليار دولار شملت بورصة Bybit.

وعلى الرغم من عدم ارتباطها بهذا الاختراق الأخير، فإن الأنشطة المستمرة للمجموعة في مجال العملات المشفرة تثير قلقًا خاصًا.

قام الجهات الفاعلة المهددة وراء هذا الهجوم الأخير بإنشاء وصيانة مستودعات GitHub لخمسة من الحزم الستة، مما يجعلها تبدو شرعية للمطورين.

تعمل هذه الاستراتيجية على زيادة فرص دمج الحزم في قواعد البيانات الشرعية، مما يجعل عملية الاكتشاف أكثر صعوبة.

وكجزء من جهودهم المستمرة، أبلغ فريق Socket عن مستودعات البرامج الضارة وحسابات المستخدمين، مطالبًا بإزالتها من npm وGitHub.

ومع ذلك، في وقت إعداد هذا التقرير، ظلت الحزم نشطة.

التهديد المستمر من لعازر

تشتهر مجموعة لازاروس، المرتبطة في كثير من الأحيان بكوريا الشمالية، بحملاتها الإلكترونية المتطورة، والتي تستهدف في كثير من الأحيان صناعة العملات المشفرة العالمية.

وعلى الرغم من هذه الخروقات البارزة، لا يزال Lazarus يشكل تهديدًا مستمرًا بسبب قدرته على العمل دون أن يتم اكتشافه لفترات طويلة.

قال كيريل بويشينكو، محلل استخبارات التهديدات في شركة Socket Security،

أنشأت مجموعة APT وحافظت على مستودعات GitHub لخمسة من الحزم الخبيثة، مما أضفى عليها مظهرًا من الشرعية مفتوحة المصدر. وهذا يزيد من احتمالية دمج الشيفرة الضارة في سير عمل المطورين.

وفي ضوء هذه النتائج، يتم حث المطورين على توخي الحذر عند استخدام حزم الطرف الثالث والتأكد من مراجعة الكود بعناية لتحديد التهديدات المحتملة قبل دمجها في مشاريعهم.