تقرير: مجموعة كيمسوكي الكورية الشمالية تركز على استمرارية الوصول بعد الاختراق

بعد تنفيذ الكود الخبيث، تنتقل المجموعة إلى مرحلة تثبيت نفسها داخل النظام. يتم استخدام أدوات نظام التشغيل مثل مجدول المهام ومسجل التشغيل التلقائي لضمان إعادة تشغيل البرامج الخبيثة عند إعادة تشغيل النظام. كما تستغل المجموعة أدوات التحكم عن بعد المشروعة، مثل كروم ريموت ديسكتوب وأني ديسك، لإخفاء نشاطها. في إحدى الحالات، تم إخفاء مؤشرات برنامج أني ديسك من شريط المهام ومنطقة النظام، مما يجعل من الصعب على برامج الأمان اكتشافها كتهديد.

تتضمن تقنيات الاستمرارية أيضاً إنشاء حسابات مدير مخفية وتعديل إعدادات النظام للسماح بالاتصالات المتعددة عبر بروتوكول سطح المكتب عن بعد. كما يتم تعديل جدران الحماية للسماح بالاتصال عبر المنفذ 3389، واستخدام أدوات الوسيط للوصول إلى الأنظمة الداخلية دون اتصال مباشر من الخارج. استهدفت المجموعة أيضاً متصفحات الويب من خلال إضافة امتدادات خبيثة لسرقة معلومات حسابات البريد الإلكتروني، مع وجود أدلة تشير إلى استخدام الذكاء الاصطناعي التوليدي في كتابة الكود الخبيث.

وسعت المجموعة من نطاق عملياتها الجغرافية لتشمل أهدافاً في اليابان وأوكرانيا، إلى جانب استمرار استهداف المؤسسات العسكرية والحكومية في كوريا الجنوبية. كما استغلت خدمات استضافة الشيفرة البرمجية المشروعة مثل جيت هاب وجيت لاب ونكود برغ لاستضافة السكربتات الخبيثة ومعلومات الاختراق. أوصى الباحث بفحص دقيق للمهام المجدولة، وإعدادات التشغيل التلقائي، وبرامج التحكم عن بعد، والامتدادات غير المعروفة في المتصفح، إلى جانب التحقق من هوية المرسلين والروابط في رسائل البريد الإلكتروني.

أكد التقرير أن الاعتماد على اكتشاف الملفات الخبيثة وحدها لم يعد كافياً، نظراً لاستخدام المهاجمين لخدمات وبرامج مشروعة في هجماتهم. يتطلب ذلك من مسؤولي الأمن السيبراني في المؤسسات فحص شامل لنقاط الوصول المحتملة التي قد يستخدمها المهاجمون للعودة إلى النظام بعد الاختراق الأولي.