قالت شركة الأمن السيبراني “Lookout” إن مجموعة من “هاكرز” كوريا الشمالية قاموا بتحميل برنامج تجسس يعمل بنظام أندرويد على متجر تطبيقات Google Play وتمكنوا من خداع بعض الأشخاص لتنزيله.
كيف اخترق”هاكرز” كوريا الشمالية Google Play؟
ووفقًا لتقرير نشرته “تك كرانش” واطلعت عليه “عالم التكنولوجيا”، كشفت شركة Lookout عن حملة تجسس إلكتروني تتضمن عدة نسخ من برنامج تجسس يستهدف نظام Android والذي يُعرف باسم “KoSpy”.
وفي السنوات القليلة الماضية، تصدّر قراصنة كوريا الشمالية عناوين الأخبار، لا سيما بسبب عملياتهم الجريئة لسرقة العملات المشفرة.
علي سبيل المثال سرقة نحو 1.4 مليار دولار من الإيثريوم مؤخرًا من منصة تداول العملات المشفرة بايبت.بهدف تعزيز برنامج الأسلحة النووية المحظور في البلاد.
لكن في حالة حملة التجسس الجديدة هذه، تشير جميع الدلائل إلى أنها عملية مراقبة. استنادًا إلى وظائف تطبيقات التجسس التي رصدتها شركة “Lookout”.
ولم يتم التعرف بعد عن أهداف حملة التجسس لكن “كريستوف هيبيسين؛ مدير أبحاث الاستخبارات الأمنية في شركة “Lookout”. صرح بأنه مع عدد قليل من التنزيلات، من المرجح أن يكون تطبيق التجسس يستهدف أشخاصًا محددين.
ويجمع “KoSpy” كمية كبيرة من المعلومات الحساسة بما في ذلك:
- الرسائل النصية القصيرة
- سجلات المكالمات
- بيانات موقع الجهاز
- الملفات
- المجلدات الموجودة على الجهاز
- ضغطات المفاتيح التي يدخلها المستخدم
- تفاصيل شبكة Wi-Fi
- قائمة التطبيقات المثبتة
ويمكن لـ”KoSpy” أيضًا تسجيل الصوت والتقاط الصور بكاميرات الهاتف والتقاط لقطات شاشة للشاشة قيد الاستخدام.
“هاكرز” كوريا الشمالية يوسعون نطاق عملياتهم
وتم التأكد أيضًا من أن “KoSpy” يعتمد على “Firestore” ، وهي قاعدة بيانات سحابية مبنية على البنية الأساسية لـ”Google Cloud” لاسترداد التكوينات الأولية.
وصرّح إد فرنانديز؛ المتحدث باسم جوجل، بأن شركة “Lookout” شاركت تقريرها مع جوجل. ما أدى إلى إزالة جميع التطبيقات التي تم تحديدها وتعطيل مشاريع “Firebase” المرتبطة بها، بما في ذلك عينة “KoSpy” التي كانت متاحة على Google Play.
وأضاف “فرنانديز” أن “Google Play” يقوم تلقائيًا بحماية المستخدمين من الإصدارات المعروفة من هذه البرامج الضارة على أجهزة اندرويد.
ولم تعلق شركة “جوجل” على سلسلة من الأسئلة المحددة حول التقرير. بما في ذلك ما إذا كانت جوجل توافق على نسبه إلى النظام الكوري الشمالي أم لا.
وتم العثور على بعض تطبيقات التجسس على متجر “APKPure” ايضًا. لكن متحدثًا باسم المتجر أكد عدم تلقيهم أي مراسلات من الشركة.
وأكدت “Lookout” أن حملة التجسس كانت موجهة بدقة، مرجحةً استهدافها لأشخاص في كوريا الجنوبية الناطقين بالإنجليزية أو الكورية. واستند التقييم إلى أسماء التطبيقات وعناوينها، والتي كانت باللغة الكورية.
بالإضافة إلى دعمها للغتين. كما كشفت الشركة أن تطبيقات التجسس استخدمت أسماء نطاق وعناوين IP مرتبطة سابقًا ببرامج ضارة، إلى جانب بنية قيادة وتحكم تستخدم من قبل مجموعات قرصنة كورية شمالية مثل APT37 و APT43.
وأضاف “هيبيسين”، أن الشيء المثير للاهتمام بشأن الجهات الفاعلة في التهديد الكوري الشمالي هو أنهم، على ما يبدو، ينجحون في كثير من الأحيان في إدخال التطبيقات إلى متاجر التطبيقات الرسمية.