الجهات الفاعلة التي تهدد كوريا الشمالية وراء الحملات ذات نمط ClickFix تم اكتشاف أن نطاقات Zoom وMicrosoft Teams التي تستخدم نطاقات مطبعية تعمل على تشغيل مجموعة تصيد نشطة لانتحال صفة منصات مؤتمرات الفيديو في حملات الهندسة الاجتماعية المصممة لتقديم البرامج الضارة.
“بلو نوروف قالت JUMPSEC في تقرير مفصل تمت مشاركته مع The Hacker News: “قامت JUMPSEC بتفعيل إساءة استخدام الثقة من خلال الجمع بين جهات الاتصال الصناعية المخترقة والهندسة الاجتماعية واستطلاع المحفظة وتسليم البرامج الضارة في خط أنابيب متكرر لاكتساب الضحايا”.
ووصفت الحملة بأنها منصة لاكتساب الضحايا يحركها المشغل، وأشارت شركة الأمن السيبراني إلى أن النشاط يتضمن استخدام جهات الاتصال الموثوقة المخترقة باعتبارها ناقل الوصول الأولي لإنشاء سلسلة هجوم ذاتية النشر عبر Telegram.
تم توثيق تفاصيل النشاط بالتفصيل منذ أوائل عام 2025، حيث تتبعت Sekoia مجموعة تهديد ثانية ذات صلة بكوريا الشمالية تحت لقب ClickFake Interview بسبب استخدام الإغراءات المشابهة لـ ClickFix لخداع الأهداف المطمئنة لتشغيل أوامر ضارة بحجة معالجة مشكلات الكاميرا أو الصوت.
وفقًا لـ JUMPSEC، يتم توزيع روابط الإغراء من حساب يثق به الهدف بالفعل وقد التقى به في الحياة الواقعية، حيث قام المهاجمون باختطاف حسابات Telegram المشروعة للأفراد في مساحة العملات المشفرة لإرسال رسائل إلى الموظفين رفيعي المستوى في الشركات الكبرى ومشاركة رابط اجتماع Calendly.
وقال JUMPSEC: “كل ضحية يقوم بتشغيل الحمولة مع فتح Telegram Web أو تثبيت Telegram Desktop هو مرشح لسرقة جلسة Telegram الخاصة به وإعادة استخدامها ضد جهات الاتصال الخاصة به”، واصفًا طبيعة الاستدامة الذاتية للحملة وكيف أن اختراق حساب واحد يغذي الحساب التالي.
يأخذ رابط Calendly الضحية إلى ما يبدو أنه عنوان URL لاجتماع Zoom، ولكنه في الواقع نطاق مزيف ينتحل صفة خدمة مؤتمرات الفيديو. يُطلب من المستخدمين الذين يصلون إلى صفحة التصيد الاحتيالي إدخال أسمائهم ومنحها أذونات للوصول إلى كاميرا الويب. ومع ذلك، بمجرد توفير الأذونات، يتم إرسال دفق كاميرا الويب خلسة إلى لوحة المشغلين عبر mediasoup WebRTC.
 |
| لوحة التشغيل، بمميزات متعددة |
في المرحلة النهائية، بعد انضمام الضحية إلى الاجتماع، تظهر له صفحة أخرى حيث يبدو أنه في مكالمة Zoom بمفرده، إلى جانب الرسالة “في انتظار مشاركين آخرين”. وهذا يمهد الطريق للمرحلة التالية من الهجوم.
وقال JUMPSEC: “بمجرد انضمام الضحية، يمكن للمشغل بعد ذلك الاستمرار في استخدام اللوحة الخاصة به للتحكم في الاجتماع، وإرسال رسائل وهمية “الميكروفون الخاص بك لا يعمل”، وتشغيل تحديث Zoom SDK، مما يؤدي في النهاية إلى حمولة ClickFix”.
في الوقت نفسه، تنفذ المجموعة خطوة أخذ البصمات على متصفح الويب لجرد محافظ العملات المشفرة المثبتة عليها، وبعد ذلك ينضم “المسؤول” إلى الاجتماع المزيف. والتطور هنا هو أن الفيديو الذي تراه الضحية ليس بثًا مباشرًا، بل هو مقطع فيديو تم تحريره مسبقًا يحتوي على لقطات للرأس تم إنشاؤها بواسطة الذكاء الاصطناعي تم إنشاؤها باستخدام OpenAI ChatGPT وتم تركيبها على حركات الجسم الأصلية التي تم التقاطها خلال الاجتماعات السابقة.
وأوضح JUMPSEC: “لذلك، فإن كل هجوم ناجح يغذي المواد المصدرية إلى المركبات المستخدمة ضد الهدف التالي”. “هذا بالإضافة إلى طريقة الاستيلاء على حساب Telegram يعني أن الاجتماع المزيف يُظهر وجهًا مألوفًا بشكل معقول، ويتحرك مع لغة الجسد لشخص تم التقاطه بالفعل بالكاميرا”.
وقالت شركة الأمن السيبراني إنها استحوذت على نوعين مختلفين من الإغراءات، لكل من Zoom وMicrosoft Teams. تم تقييم متغير Teams على أنه أكثر صقلًا من إصدار Zoom، حيث يدعم تفاعل الرموز التعبيرية وحظر الهاتف المحمول/الكمبيوتر اللوحي وتحقيقات المحفظة المتقدمة قبل تسليم البرامج الضارة.
تتوافق سلاسل الهجوم ClickFix مع كل من نظامي التشغيل Windows وmacOS. وفيما يلي وصف موجز لكل منهم –
-
سلسلة قتل ويندوز:
- يقوم أمر ClickFix بتشغيل برنامج تحميل PowerShell الذي يقوم بتنزيل VBScript وتنفيذه، وتعطيل Microsoft Defender، وإضافة المجلد “C:\Users” إلى مسار الاستثناء، وإعادة تشغيل Defender بالقوة بحيث يتم تطبيق الاستثناءات.
- تتحقق عملية زرع VBScript من وجود ملفات ذات صلة بـ Telegram Web داخل أدلة الملف الشخصي لـ Google Chrome وMicrosoft Edge وBrave وMozilla Firefox، ومن المحتمل أن تحدد ما إذا كان لدى الضحية حساب Telegram نشط ومن المحتمل أن تقوم باختطاف ملفات تعريف الارتباط الخاصة بجلسة الحساب من أجل السيطرة على الحساب واستخدامه لاستهداف أفراد آخرين محل اهتمام.
- تقوم عملية الزرع بتعداد الامتدادات المثبتة عبر Chrome، وChrome Beta، وChrome Dev، وChromium، وEdge، وBrave، وOpera، وOpera GX، وVivaldi، وFirefox، وتبلغ عن معرفات الامتدادات المقابلة لها، والتي تتم مطابقتها بعد ذلك مع امتدادات المحفظة المعروفة مثل MetaMask لتحديد الأهداف ذات القيمة العالية.
- وتدعم الغرسة أيضًا القدرة على تسليم حمولات المرحلة التالية، على الرغم من أن طبيعتها الدقيقة لا تزال غير معروفة.
-
سلسلة القتل لنظام التشغيل MacOS:
- يقوم أمر ClickFix بتشغيل برنامج نصي shell، والذي يقوم بعد ذلك بتنزيل مثبت Teams (أو Zoom) المزيف.
- يقوم المثبت بتشغيل حمولة السرقة الرئيسية لاستخراج البيانات الحساسة وتصفيتها، بما في ذلك البيانات التعريفية للنظام ومفاتيح Google Chrome الرئيسية من iCloud Keychain، إلى المهاجم عبر قناة Telegram المسماة “Aurora”، ونشر حمولات إضافية.
توصل المزيد من التحليل إلى أن وظيفة الترشيح في Telegram تقوم بترميز رمز الروبوت ومعرف الدردشة داخل الملف الثنائي للسرقة. يؤدي الاستعلام عن واجهة برمجة تطبيقات Telegram الخاصة برمز الروبوت إلى ربطها بمشغل يحمل الاسم “John” (@alchemy_john_mac). في الآونة الأخيرة، في مايو 2026، تمت ملاحظة أن الفرد يسأل مسؤولي مجموعة العملات المشفرة MAIV حول منح العقود وسحب أموالهم.
علاوة على ذلك، أدى فحص البنية التحتية لممثل التهديد إلى اكتشاف خمسة إصدارات مختلفة من مجموعة التصيد الاحتيالي في الفترة من 31 مايو إلى 14 يوليو 2026، مما يشير إلى جهود التطوير والضبط النشطة.
أحد الجوانب البارزة في الحملة هو تركيزها بشكل خاص على الإغراءات المتعلقة بـ Zoom وTeams، بدلاً من Google Meet على سبيل المثال. صرح شون موران، رئيس قسم أبحاث التهديدات والتمكين في JUMPSEC، لصحيفة The Hacker News أن هناك ثلاثة أسباب محتملة وراء هذا السلوك: ذريعة ClickFix، وملاءمة تطبيق الهدف، وسطح الكتابة المطبعية –
“المشكلة بأكملها هي “Zoom/Teams SDK قديم” – الذي لا يصل إلا إلى الأنظمة الأساسية التي يعتقد الضحايا أنها تحتوي إلى حد ما على عميل سطح مكتب ثقيل الوزن (مثل Teams وZoom). لكن Google Meet لا يحتوي على تطبيق سطح مكتب وهو أول متصفح، لذلك لا معنى له حقًا هناك.
يعد Zoom وTeams هو الوضع الافتراضي للعديد من أصحاب رؤوس الأموال/المؤسسين في مجال العملات المشفرة/المغامرين في عالم التمويل – في حين يبدو Google Meet وكأنه منصة للاتصال بالعملاء وليس “مكالمة مستثمر/شراكة”.
نظام النطاق بأكمله هو “us.zoom.06webin.us” وهذا يجعل من السهل حقًا أن يقع شخص ما في فخ روابطه المزيفة لأنها تشبه إلى حد كبير روابط Zoom الحقيقية مع جميع النطاقات الفرعية، في حين أن “meet.google.com” يصعب كتابته أو محاكاة ساخرة.”
وأشار موران أيضًا إلى أنه على الرغم من أن مجموعة التصيد الاحتيالي لا تقوم حاليًا إلا بشحن صفحات Zoom وTeams، إلا أنه يوجد ما يعادل Google Meet باعتباره كعب روتين غير مُنفذ في كود المصدر. وأضاف أن هذا من المحتمل أن يكون اختيارًا متعمدًا للعوامل المذكورة أعلاه وحقيقة أن النظام الحالي يعمل بنشاط.
وخلصت JUMPSEC إلى أن “الآثار تمتد إلى ما هو أبعد من هذه الحملة المحددة. ومع استمرار نضوج Web3 والأصول الرقمية، تدرك الجهات الفاعلة في مجال التهديد بشكل متزايد أن اختراق الأفراد الذين يتحكمون في الوصول يمكن أن يكون ذا قيمة مثل مهاجمة البنية التحتية نفسها”.
“يوضح التحسين المستمر لـBlueNoroff أنه يجب على المؤسسات اعتبار الهوية والعلاقات وقنوات الاتصال بمثابة أجزاء مهمة من وضعها الأمني.”
