أكد خبراء الأمن السيبراني، أن مخترقين مشتبهين بارتباطهم بكوريا الشمالية نجحوا في إدخال برمجية خبيثة إلى حزمة برمجية مفتوحة المصدر تُستخدم من قبل آلاف الشركات الأمريكية، في هجوم على سلسلة التوريد قد يستغرق التعافي منه أشهراً.
وقال الخبراء الذين يتعاملون مع الحادثة لشبكة CNN إنهم يتوقعون حملة طويلة الأمد تهدف إلى سرقة العملات المشفرة لتمويل النظام الكوري الشمالي، الذي ينفق عادة مثل هذه الأموال المسروقة على برامجه النووية والصاروخية.
كيف وقع الهجوم؟
واستمر الوصول إلى حساب مطور البرمجيات الذي يدير حزمة Axios المفتوحة المصدر لمدة 3 ساعات صباح الثلاثاء.
واستخدم المخترقون هذا الوصول لإرسال تحديثات خبيثة إلى أي منظمة قامت بتنزيل البرمجية خلال تلك الفترة، مما أثار حالة من الارتباك السريع لدى المطور لاستعادة السيطرة على حسابه، ولدى مسؤولي الأمن السيبراني في جميع أنحاء البلاد لتقييم حجم الضرر.
وتُستخدم مكتبة Axios - وهي مكتبة جافا سكريبت شهيرة لتبسيط إجراء طلبات HTTP - من قبل شركات في جميع القطاعات الاقتصادية تقريباً، من الرعاية الصحية إلى التمويل، كما يعتمد عليها بعض شركات العملات المشفرة والشركات التقنية العاملة في هذا المجال.
الجهة المسؤولة
أعلنت شركة مانديانت (Mandiant)، التابعة لقوقل، أن مجموعة اختراق كورية شمالية مشتبه بها هي المسؤولة عن الهجوم.
وقال كبير مسؤولي التكنولوجيا في مانديانت تشارلز كارماكال لشبكة CNN: "نتوقع أن يحاولوا استغلال بيانات الاعتماد والوصول إلى الأنظمة التي حصلوا عليها حديثاً في هذا الهجوم على سلسلة التوريد البرمجية لاستهداف وسرقة العملات المشفرة من الشركات، و من المرجح أن يستغرق تقييم التأثير النهائي لهذه الحملة أشهراً".
حجم الأضرار
ومن جهته، قال، الباحث الأمني في شركة Huntress جون هاموند، إن شركته رصدت نحو 135 جهازاً مصاباً تابعاً لنحو 12 شركة حتى الآن، لكنه أشار إلى أن هذا يمثل «لقطة صغيرة فقط» من حجم الضحايا المتوقع، والذي من المرجح أن يرتفع بشكل كبير مع اكتشاف المنظمات إصابتها.
هجوم آخر في سلسلة الهجمات الكورية الشمالية
ويُعد هذا الهجوم الأحدث في سلسلة الهجمات الواسعة على سلسلة التوريد المنسوبة إلى بيونغ يانغ. قبل 3 سنوات، تسلل عملاء كوريون شماليون إلى مزود برمجيات آخر شائع استخدمته شركات الرعاية الصحية وسلاسل الفنادق لمكالمات الصوت والفيديو.
ويُشكل فيلق الاختراق القوي في كوريا الشمالية مصدراً أساسياً للإيرادات بالنسبة للبلد المسلح نووياً، الذي يعاني من العقوبات الدولية. فقد سرق المخترقون الكوريون الشماليون مليارات الدولارات من البنوك وشركات العملات المشفرة في السنوات الأخيرة، وفقاً لتقارير الأمم المتحدة والشركات الخاصة.
وقال مسؤول في البيت الأبيض عام 2023 إن نحو نصف برنامج الصواريخ الكوري الشمالي ممول من مثل هذه السرقات الرقمية.
وفي العام الماضي، سرق المخترقون 1.5 مليار دولار في عملة مشفرة في هجوم واحد، كان الأكبر من نوعه في ذلك الوقت.
وقال مدير الاستخبارات الاستراتيجية للتهديدات في شركة Wiz بن ريد: «كوريا الشمالية لا تهتم بسمعتهم أو بإمكانية كشفهم في النهاية، لذا فإن هذه العمليات الصاخبة وعالية المستوى هي ثمن يقبلون بدفعه».
نقطة ضعف في سلسلة التوريد
وصف هاموند الهجوم بأنه «مُوقَّت بدقة»، خصوصاً مع انتشار وكلاء الذكاء الاصطناعي التي تطور البرمجيات في المنظمات «دون أي مراجعة أو حواجز أمان».
وأضاف: «أكبر نقطة ضعف في سلسلة التوريد البرمجية بأكملها أصبحت باباً مفتوحاً في عصر يقرأ فيه عدد قليل جداً من الناس ما يُضاف إلى المكونات».
أخطر الهجمات
ويُعد هجوم Axios أحد أخطر الهجمات على سلسلة التوريد في الفترة الأخيرة بسبب شعبية المكتبة (أكثر من 100 مليون تنزيل أسبوعياً) وطبيعة البرمجية الخبيثة التي تمنح المهاجمين وصولاً مستمراً وتسرق بيانات حساسة، خصوصاً في بيئات العملات المشفرة.
Cybersecurity experts have confirmed that suspected hackers linked to North Korea have successfully introduced malware into an open-source software package used by thousands of American companies, in a supply chain attack that could take months to recover from.
Experts dealing with the incident told CNN that they expect a long-term campaign aimed at stealing cryptocurrency to fund the North Korean regime, which typically spends such stolen funds on its nuclear and missile programs.
How did the attack occur?
The access to the software developer's account managing the open-source Axios package lasted for 3 hours on Tuesday morning.
The hackers used this access to send malicious updates to any organization that downloaded the software during that time, causing a rapid state of confusion for the developer to regain control of his account, and for cybersecurity officials across the country to assess the extent of the damage.
The Axios library - a popular JavaScript library for simplifying HTTP requests - is used by companies in nearly all economic sectors, from healthcare to finance, and is relied upon by some cryptocurrency companies and tech firms operating in this field.
The responsible party
Mandiant, a subsidiary of Google, announced that a suspected North Korean hacking group is responsible for the attack.
Mandiant's Chief Technology Officer Charles Carmakal told CNN: "We expect them to try to exploit the credentials and access to systems they recently obtained in this supply chain software attack to target and steal cryptocurrency from companies, and it is likely that assessing the final impact of this campaign will take months."
Extent of the damage
For his part, security researcher at Huntress John Hammond stated that his company has detected around 135 infected devices belonging to about 12 companies so far, but he noted that this represents "just a small snapshot" of the expected victim count, which is likely to rise significantly as organizations discover their infections.
Another attack in the series of North Korean attacks
This attack is the latest in a series of widespread attacks on the supply chain attributed to Pyongyang. Three years ago, North Korean agents infiltrated another popular software provider used by healthcare companies and hotel chains for voice and video calls.
The powerful hacking brigade in North Korea is a key source of revenue for the nuclear-armed country, which suffers from international sanctions. North Korean hackers have stolen billions of dollars from banks and cryptocurrency companies in recent years, according to reports from the United Nations and private firms.
A White House official in 2023 stated that about half of North Korea's missile program is funded by such digital thefts.
Last year, hackers stole $1.5 billion in cryptocurrency in a single attack, which was the largest of its kind at the time.
Ben Read, director of strategic threat intelligence at Wiz, said: "North Korea doesn't care about their reputation or the possibility of being exposed in the end, so these loud, high-profile operations are a price they are willing to pay."
Vulnerability in the supply chain
Hammond described the attack as "precisely timed," especially with the spread of artificial intelligence agents that develop software in organizations "without any review or security barriers."
He added: "The biggest vulnerability in the entire software supply chain has become an open door in an era where very few people read what is added to the components."
One of the most dangerous attacks
The Axios attack is considered one of the most dangerous supply chain attacks in recent times due to the library's popularity (over 100 million downloads weekly) and the nature of the malware that provides attackers with continuous access and steals sensitive data, especially in cryptocurrency environments.
