مجموعة لازاروس الكورية الشمالية تضرب من جديد، وهذه المرة بدمج إحدى أقدم حيلها مع إحدى أحدث أدواتها. وفقًا لتقرير جديد، استخدمت مجموعة القرصنة المدعومة من الدولة عروض عمل مزيفة إلى جانب ثغرة يوم صفر غير معروفة سابقًا في ويندوز لاختراق مؤسسات دفاعية وجوية. تمثل هذه الحملة فصلًا جديدًا في عملية "وظيفة الأحلام"، وهي جهود تجسس مستمرة ابتلي بها قطاع الدفاع لسنوات، لكن هذه الموجة الأخيرة تُظهر أن المجموعة مستعدة لحرق ثغرات قيّمة غير معلنة للحصول على ما تريد.
كيف تعمل عملية احتيال الوظيفة المزيفة
يتبع الهجوم نمطًا مألوفًا لكل من تابع نشاط لازاروس من قبل. يتواصل شخص ينتحل صفة مسؤول توظيف مع موظف في شركة دفاع أو طيران، مغرّيًا إياه بفرصة عمل في شركة يمكن أن يتعرف عليها الهدف. يبدو الأسلوب مشروعًا لأنه يحاكي تواصل التوظيف الحقيقي: رسائل مهنية، ودور وظيفي معقول، وتفاصيل كافية لتجنب إثارة الشكوك الفورية.
هذه ليست حيلة جديدة. وكما ورد في تغطيتنا السابقة لضرب عملية "وظيفة الأحلام" لشركات الدفاع والطيران، أمضى المهاجمون سنوات في صقل هذه الإغراءات لجعل الفرص المزيفة تبدو حقيقية. ما يميز هذه الحملة الأخيرة هو الحمولة التي تنتظر في نهاية المحادثة. فبمجرد أن يتفاعل الهدف، يرسل المهاجمون ملفًا أو رابطًا يستغل ثغرة يوم صفر في ويندوز، وهي ثغرة لم تكن معروفة لدى مايكروسوفت ولم تكن مرقعة وقت الهجوم. وهذا يعني أن برامج الأمان القياسية لم يكن لديها توقيع للكشف عنها، ويمكن اختراق نظام الهدف دون أي علامات تحذيرية واضحة.
زاوية ثغرة ويندوز من نوع يوم الصفر
ثغرات يوم الصفر قيّمة على وجه التحديد لأنها غير معروفة. فالمهاجمون الذين يمتلكون إحداها يستطيعون تجاوز الدفاعات المرقعة التي توقف عادةً الاستغلالات المعروفة. استخدام لازاروس لثغرة يوم صفر هنا يشير إلى مستوى من الموارد والتطور التقني يتسق مع الدعم الحكومي، وهو يكرر نمطًا سبق أن رصده الباحثون الأمنيون. في العام الماضي فقط، اضطرت مايكروسوفت إلى ترقيع ثغرة يوم صفر منفصلة في ويندوز كانت تُستغل بالفعل في البرية لتثبيت برمجيات خبيثة مرتبطة بلازاروس، كما أوضحنا في تغطيتنا لـترقيع مايكروسوفت لثغرة روتكيت مرتبطة بلازاروس. وسواء كانت هذه الثغرة الجديدة قد رقّعت بعد أم لا، فإن الدرس الأساسي يبقى نفسه: الاعتماد فقط على دورة التحديث الشهرية من مايكروسوفت يترك نافذة تعرض يستغلها المهاجمون المصممون.
لماذا يهم هذا خارج نطاق متعاقدي الدفاع
من المغري اعتبار هذه القصة تخص فقط العاملين في قطاعي الدفاع والطيران، لكن آثار الخصوصية تمتد إلى ما هو أبعد. تستهدف لازاروس الأفراد، وليس المؤسسات فقط. فالموظف الذي يتلقى عرض العمل المزيف غالبًا ما يُختار بسبب امتيازات وصوله أو جهات اتصاله أو البيانات الحساسة الموجودة على جهازه، وليس لأنه ارتكب خطأً ما. وبمجرد اختراق الجهاز، يمكن أن يتحول حاسوب محمول واحد إلى نقطة ارتكاز للوصول إلى شبكة أوسع، مما يكشف الاتصالات الشخصية وبيانات الاعتماد وربما معلومات سرية أو مملوكة.
وتؤكد هذه الحملة أيضًا اتجاهًا أوسع: تظل الهندسة الاجتماعية واحدة من أكثر الطرق فعالية لتجاوز البنية الأمنية حتى لو كانت ممولة تمويلًا جيدًا. فلا يمكن لأي جدار حماية أو أداة حماية للنقاط الطرفية أن تعوض بالكامل عن رسالة مقنعة تدفع شخصًا إلى فتح ملف. لقد جعلت ثغرة يوم الصفر هذا الهجوم بالذات أكثر خطورة، لكن نقطة الدخول الأولى كانت، كما هي الحال دائمًا، الثقة البشرية.
ماذا يعني هذا بالنسبة لك
معظم القراء لن يتلقوا أبدًا رسالة تصيد من لازاروس، لكن الأساليب المستخدمة هنا أصبحت شائعة بشكل متزايد في عمليات احتيال أقل تعقيدًا أيضًا. فقد أصبح مسؤولو التوظيف المزيفون وحيل الوظائف والمرفقات الخبيثة المتخفية في هيئة خطابات عرض أو اختبارات برمجية أمرًا روتينيًا على منصات مثل لينكدإن والبريد الإلكتروني. إذا كنت تعمل في قطاع حساس، كالدفاع أو الطيران أو التقنية أو الأبحاث، فتعامل مع التواصل الوظيفي غير المرغوب فيه بنفس الشك الذي تتعامل به مع فاتورة مريبة أو إشعار جائزة أروع من أن يكون حقيقيًا.
وبعيدًا عن الحذر الفردي، يذكرنا هذا الحادث بأن الحفاظ على تحديث نظام التشغيل وبرامج الأمان أمر مهم، حتى وإن كانت ثغرة يوم الصفر بحكم تعريفها لا يمكن ترقيعها مسبقًا. فعندما تصبح ثغرة مثل هذه معلنة، يتحرك البائعون عادة بسرعة لإصدار إصلاح، وتأخير ذلك التحديث يجعلك عرضة للمهاجمين الذين يستخرجون الثغرة من التحديث نفسه عبر الهندسة العكسية.
خلاصات قابلة للتطبيق
تحقق من تواصل مسؤولي التوظيف بشكل مستقل قبل النقر على أي روابط أو تنزيل أي مرفقات، ويفضل أن يكون ذلك بالاتصال بالشركة مباشرة عبر قنواتها الرسمية. تجنب فتح الملفات غير المتوقعة، حتى تلك التي تبدو كأوصاف وظيفية أو اختبارات تقييم، دون فحصها أولًا. حافظ على تحديث ويندوز وجميع البرامج فور توفر التحديثات، لأن ثغرات يوم الصفر غالبًا ما يتبعها سريعًا استغلال أوسع بمجرد تسرب التفاصيل. وإذا كنت تعمل في قطاع عالي القيمة مثل الدفاع أو الطيران، فأبلغ فريق الأمن في مؤسستك عن عروض العمل المشبوهة بدلًا من التعامل معها بمفردك. تُظهر عروض العمل المزيفة من لازاروس واستغلالها لثغرة يوم الصفر في ويندوز أن حتى المحترفين ذوي الخبرة يمكن استهدافهم بإغراءات مقنعة للغاية، لكن جرعة صحية من الشك ونظافة أمنية جيدة تظل أفضل دفاع لديك.
