خمسون عنوانًا تخرج من الخدمة
في ديسمبر 2019، حصلت Microsoft على أمر قضائي يتيح لها السيطرة على خمسين نطاقًا استخدمها نشاط تتبعه باسم Thallium. كشفت الرسائل التي حللتها انتحال خدمات مألوفة، مع تفاصيل صغيرة مثل تركيب حرفين ليشبها حرفًا في اسم Microsoft. يقود الرابط إلى صفحة تطلب بيانات الحساب، ثم يصل المهاجم إلى البريد وجهات الاتصال والمواعيد. وفي بعض الحسابات، أضاف قاعدة لتحويل الرسائل الجديدة إلى عنوان يسيطر عليه؛ فتستمر نسخ من الرسائل في الوصول إليه حتى بعد تغيير كلمة المرور. جاءت مصادرة النطاقات لتعطل عناوين محددة استند إليها هذا المسار، وفق إعلان الشركة. وشملت الأهداف أشخاصًا في اليابان وكوريا الجنوبية والولايات المتحدة.
قبل الرسائل الطويلة، ملفات مسروقة
امتدت جذور النشاط الذي تتناوله التقارير تحت اسم Kimsuky إلى ما قبل ذلك بسنوات. في تحقيق Kaspersky المنشور سنة 2013، ظهرت برمجية تعترض فتح مستندات Hangul المستخدمة على نطاق واسع في كوريا، ثم تفتح المستند بالتطبيق الحقيقي بعد نسخه. كما عدّل المشغّلون برنامج TeamViewer للتحكم عن بُعد، بدل بناء كل مكون بأنفسهم. شملت الأهداف جهات تبحث في العلاقات الدولية والسياسات الدفاعية والتوحيد الكوري. تجمع هذه التفاصيل بين نوع المعرفة المرغوبة وطريقة أخذها؛ يمكن أن تظهر الوثيقة لصاحبها كما توقع، بينما تكون نسخة أخرى قد غادرت جهازه في أثناء فتحها.
الرأي المطلوب من صاحبه
في 2023 و2024، سجلت Proofpoint مدخلًا أهدأ لدى TA427، وهو اسم يتقاطع نطاقه مع Kimsuky. وصل إلى خبراء طلب رأي بشأن نزع السلاح النووي والعقوبات وعلاقة الولايات المتحدة بكوريا الجنوبية. انتحلت الرسائل باحثين وصحفيين وشخصيات قد يعرف المستهدف عملها، وامتدت المراسلات أسابيع أو أشهر. في الحالات التي رصدتها الشركة، كان إرسال ملفات ضارة أو صفحات سرقة بيانات الدخول قليلًا وكان يسبقه تبادل رسائل. رجح الباحثون أن بعض الاحتياجات الاستخباراتية قد تتحقق بمجرد الحصول على إجابة الخبير. صار مضمون الرد نفسه مادةً تجمعها الجهة التي تخفي هويتها.
اسم المرسل ومكان وصول الرد
ومنذ ديسمبر 2023، استغل المشغّلون ضعف تطبيق معيار DMARC للتحقق من مصدر البريد، كي تبدو الرسالة صادرة من مؤسسة حقيقية بينما يذهب الرد إلى حساب آخر. وفي فبراير 2024 ظهرت صور تعقب صغيرة داخل الرسائل؛ يمكن لتحميلها أن يكشف توقيت الفتح ومعلومات عن بيئة المتلقي. أضافت هذه الحيل إلى الحديث المهني وسيلة لقياس من استجاب وكيف وصلته الرسالة. تكشف الوقائع انتقالًا بين أخذ المستند خفية واستدراج صاحبه إلى مشاركة معرفته. وفي الحالتين ظلت هوية الطرف الذي يتلقى المعلومة هي العنصر الذي يخفيه المهاجم بعناية عن صاحبها.