كشفت السلطات الكورية الجنوبية وأربع شركات أمنية عن حملة ترعاها الدولة أدت إلى اختراق مواقع الويب المحلية الموثوقة. استخدم المهاجمون تلك المواقع لاستغلال برامج الأمن المالي المثبتة محليًا وإصابة الزوار المستهدفين بها التوقيع أو كوبرهيدج أبواب خلفية.
يمكن أن تصيب الصفحة المخترقة نظامًا يقوم بتشغيل إصدار AnySign4PC الضعيف دون الحاجة إلى التنزيل الفوري أو الذي يبدأه المستخدم. تقول وكالة الإنترنت والأمن الكورية (KISA) إن إصدارات AnySign4PC من 1.1.4.4 إلى 1.1.4.6 متأثرة وتسرد الإصدار 1.1.5.0 كإصدار ثابت. وتوصي بحذف المنشآت الضعيفة.
يشير AhnLab إلى منتجين مستغلين فقط باعتبارهما برنامجي الأمن المالي A وI. ولا يكشف تقريره عن هويتيهما، أو الإصدارات المتأثرة أو الثابتة، أو معرفات نقاط الضعف.
وقالت AhnLab إنها حددت أدلة على الهجمات ذات الصلة في 72 منظمة في عام 2026. كما عثرت الشركة على 15 موقعًا إلكترونيًا شرعيًا تُستخدم كنقاط مياه. ووجد تحقيقها أيضًا تداخلًا مع الهجمات التي انتهت بـ برنامج الفدية Gunra.
تضمنت الأدلة المشتركة نفس ثغرة الوصول الأولي، وأسماء ملفات البرامج الضارة وأنماط التنفيذ، وبصمة مفتاح SSH، والبنية التحتية للشبكة. وقال AhnLab إن الأدلة لا تثبت أن جهة فاعلة واحدة هي التي نفذت كلتا العمليتين. لا يذكر التقرير ما هي الأدلة التي تضع منظمة ما في القائمة، لذا فإن الرقم 72 لا يمثل عدداً من التنازلات الكاملة المؤكدة بنفس القدر. ولم يذكر التقرير اسم المجموعة التي ترعاها الدولة.
زيارة الصفحة كانت كافية
تم إصدار الاستشارة المشتركة من قبل KISA وجهاز المخابرات الوطني ووكالة الشرطة الوطنية ومعهد الأمن المالي، بناءً على التحليل الذي تم إجراؤه مع AhnLab وS2W وENKI Whitehat وPlainbit.
وقالت KISA إن هجمات التصيد الاحتيالي والهجمات من هذا النوع التي ترعاها الدولة ما زالت يتم تحديدها. ولا توضح التقارير العامة ما إذا كان المهاجمون قد واصلوا استغلال AnySign4PC بعد توفر الإصدار 1.1.5.0.
أرسل المهاجمون رسائل تصيد احتيالي متنكرة في شكل سير ذاتية، وأساليب توظيف، ومواد استثمارية، واستطلاعات رأي خاصة بالصناعة. لقد قاموا أيضًا باختراق الأخبار والرعاية الصحية والتعليم والتصنيع والمواقع الإلكترونية الأصغر حجمًا سيئة التأمين والتي من المحتمل أن يزورها ضحاياهم المقصودون.
حدد ENKI Whitehat برنامج AnySign4PC، وهو البرنامج المستخدم للتوقيعات الإلكترونية القائمة على الشهادات، كأحد المنتجات المعرضة للخطر، وقال إن المهاجمين استغلوا ثغرة يوم الصفر. لاحظت إنكي النشاط اعتبارًا من النصف الثاني من عام 2025، قبل أن تنشر KISA إشعار التصحيح الخاص بها في يونيو 2026.
يصف تقرير عملية Double Barrel الخاص بـ AhnLab سلسلة استغلال تستخدم أربع صور PNG لتبادل المفاتيح، والتحقق من إصدار البرنامج المثبت، وتقديم كود استغلال خاص بالإصدار، والإبلاغ عما إذا كان التنفيذ ناجحًا. اتصلت الصفحة الضارة ببرنامج الأمان المحلي عبر WebSocket وأثارت تجاوز سعة المخزن المؤقت لتنفيذ كود القشرة.
تم بعد ذلك إدخال الحمولة في عمليات Microsoft المشروعة. اعتمادا على الاقتحام، تم تثبيت المهاجمين كفاح، الذي يقوم AhnLab بتعيينه على SIGNBT 3.0، أو براندور، هذا هو الاسم الذي يطلق على الباب الخلفي COPPERHEDGE. تدعم البرامج الضارة تنفيذ الأوامر عن بعد، وسرقة الملفات، والاستطلاع الداخلي، وحقن العمليات، وتسليم حمولات إضافية.
أعادت شركة Plainbit بشكل مستقل بناء إحدى حوادث حفرة الري في تقرير الطب الشرعي الخاص بها. قام المهاجمون برسم خرائط لأنظمة واجهة الإنترنت الخاصة بالضحية، وقاموا باختراق موقع الويب الخاص بها، وقاموا بتثبيت webshell، وأدخلوا JavaScript في صفحة مقالة إخبارية شرعية. عندما يزوره هدف ما، يقوم برنامج الأمان الضعيف بإنشاء خطأ وإنشاء ملف DLL ضار دون مطالبة بالتنزيل أو أي تفاعل آخر من قبل المستخدم.
وقام الباب الخلفي الناتج بفك تشفير المراحل اللاحقة في الذاكرة، وإدخال التعليمات البرمجية في ملف svchost.exe، وقراءة معلومات الأوامر والتحكم من سجل Windows. استخدم المهاجمون بعد ذلك عمليات استغلال تصعيد الامتيازات، وMimikatz وأدوات بيانات الاعتماد الأخرى، واتصالات بروتوكول سطح المكتب البعيد، وNLBrute للتنقل عبر الشبكة.
وجد تحليل S2W لثلاث مجموعات من البرامج الضارة نمطًا متكررًا من التحميل الجانبي لـ DLL، ونقاط التسجيل المشفرة، والتحميل القابل للتنفيذ المحمول في الذاكرة. قامت مجموعتان بنشر إصدارات SIGNBT 0.0.1 و1.2، بينما قام مُحمل ثالث بفك تشفير حمولة خارجية لم يتمكن الباحثون من استعادتها.
مسار غونرا
استخدم اختراق برنامج Gunra Ransomware في مارس 2026 نفس موقع الرعاية الصحية المخترق ونفس الثغرة الأمنية في المنتج الذي يستدعي AhnLab برنامج الأمن المالي A. ثم قامت كل من السلاسل التي ترعاها الدولة وبرامج الفدية بحقن التعليمات البرمجية في SyncHost.exe. لم يحدد AhnLab البرنامج A، لذا لم يثبت التقرير أن الثغرة الأمنية المرتبطة بـ Gunra كانت AnySign4PC.
ووجد AhnLab أيضًا أن كلتا العمليتين تستخدمان أسماء الملفات net.tmp وinet.tmp. كانت الوسيطة inet.tmp متطابقة، بينما اتبعت الوسيطات net.tmp تنسيق GUID مشابهًا. استخدمت كلتا العمليتين نفس بصمة المفتاح العام SSH Qr1to32lQHxEu6phzNyrTZrU0iElrOfVWMBLnqoen24. واستخدموا أيضًا نفس عنوان النفق العكسي 176.65.128[.]26. المجال jshosting[.]تم استخدامي لتوزيع نصوص الاستغلال في مجموعتي الهجمات.
اتبع المهاجمون أيضًا نفس الإجراء المضاد للطب الشرعي، حيث أعادوا تسمية الملفات الضارة إلى أسماء عشوائية مكونة من أربعة أحرف قبل حذفها. لاحظ Plainbit تدميرًا إضافيًا للأدلة باستخدام SDelete وCCleaner.
وقدرت AhnLab أن الأدلة تظهر وجود رابط فني محتمل، لكنها قالت إنها لا تستطيع تحديد العلاقة بين المشغلين. وأدرجت الشركة عدة تفسيرات محتملة، بما في ذلك التعاون المحدود، أو الأدوات أو البنية التحتية المشتركة، أو استخدام وسيط وصول مشترك، أو الوصول إلى نفس الموارد التشغيلية.
تُظهر التداخلات مسار وصول مشتركًا أو معاد استخدامه من موقع الويب المخترق من خلال تنفيذ المضيف والبنية التحتية الداعمة. وهي لا تظهر أن نفس المشغل كان يتحكم في كلا الهجومين.
يعمل Gunra كبرنامج فدية كخدمة، وفقًا لبحث منفصل من S2W.
وقالت الشركة إن العملية أثرت على 32 شركة اعتبارًا من 9 مارس 2026، بما في ذلك خمس شركات كورية جنوبية، وانتقلت من برامج الفدية المشتقة من Conti إلى إصدارات Windows وLinux الخاصة بها.
يتوقف الإسناد عن لعازر
يصف التقرير الاستشاري الحكومي الحالي وتقرير عملية Double Barrel المشغل الذي يركز على التجسس فقط على أنه مجموعة تهديد ترعاها الدولة. لم تنسب أي من الوثيقتين رسميًا حملة 2025 إلى 2026 الكاملة إلى لعازر، ولم تربط أيًا منهما لعازر بجونرا.
ومع ذلك، فقد نسب AhnLab هجوم AnySign4PC في مارس 2026 إلى Lazarus في تقرير منفصل نُشر في أبريل. كما قام كاسبرسكي بتوثيق استخدام Lazarus لثقوب الري، وبرامج الأمان الكورية الجنوبية، وSIGNBT، وCOPPERHEDGE خلال عملية SyncHole السابقة.
توثق هذه التقارير استخدام Lazarus السابق لـ AnySign4PC وSIGNBT وCOPPERHEDGE واستغلال حفرة الري. إنهم لا ينسبون عملية Double Barrel أو اقتحامات Gunra إلى Lazarus.
تصحيح البرنامج، ومطاردة السلوك
يحدد إشعار الأمان الصادر في 1 يونيو من KISA أن إصدارات AnySign4PC من 1.1.4.4 إلى 1.1.4.6 معرضة لتجاوز سعة المخزن المؤقت الذي يسمح بتنفيذ التعليمات البرمجية عن بُعد. يسرد الإصدار 1.1.5.0 كإصدار ثابت ويوصي بحذف التثبيتات الضعيفة.
توصي التقارير بالبحث عن تحميلات DLL المشبوهة عن طريق الملفات التنفيذية المشروعة، والبيانات المشفرة المخزنة ضمن إدخالات سجل الخدمة، وتنفيذ PE في الذاكرة، وإنشاء خدمة غير عادية، والحقن في SyncHost.exe أو svchost.exe، وأنفاق SSH الصادرة غير المتوقعة.
وجدت ENKI أن الباب الخلفي من النوع 1 قام بحذف تكوين التسجيل والمحمل وملفات الباب الخلفي بعد نسخها إلى الذاكرة عند التشغيل في الأوضاع 1 أو 2 أو 4 أو 5 مع تمكين الحماية الذاتية. بمجرد التهيئة، كانت الملفات غائبة عن القرص حتى أعادها إيقاف التشغيل النظيف، وكان للمحمل المستعاد تجزئة مختلفة. وهذا يجعل القياس السلوكي عن بعد أكثر فائدة من مؤشر الملف الثابت.
لاحظ Plainbit سلسلة استمرارية واحدة حيث قامت مهمة مجدولة تسمى RuntimeBroker بتشغيل Task.vbs، والتي قامت بعد ذلك بتشغيل عميل SSH تمت إعادة تسميته باسم SearchHost.exe لإنشاء نفق عكسي. تنصح S2W بالحفاظ على ذاكرة العملية وأسطر الأوامر وقيم التسجيل وأحداث تحميل DLL وسجلات الشبكة قبل إنهاء العمليات أو عزل الأنظمة.
ووجدت AhnLab أيضًا أن العديد من مواقع الويب المخترقة كانت مرتبطة بنفس شركة التطوير والإدارة، والتي وصفتها بأنها طريق محتمل لسلسلة التوريد. لا تثبت الأدلة المتاحة أن كود مصدر الشركة أو عملية تحديث البرامج أو منصة الإدارة المركزية قد تم اختراقها.
لا يتضمن إشعار KISA الصادر في 1 يونيو معرف CVE لخلل AnySign4PC. اعتبارًا من 30 يوليو 2026، عثرت The Hacker News على CVE-2020-7882 فقط في برنامج CVE العام وعمليات بحث NVD عن AnySign4PC، وهي ثغرة أمنية غير مرتبطة باجتياز الدليل تؤثر على الإصدارات الأقدم. ولا تستبعد هذه النتيجة وجود معرف محجوز أو غير منشور أو موصوف بشكل مختلف. لا نزال أنا وبرنامج AhnLab مجهولين في تقريره، والذي لا يكشف أيضًا عن إصداراتهما المتأثرة أو التي تم إصلاحها.
