🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
استشارة
استخبارات الخصمالاسم
APT38الأصل
كوريا الشماليةالهدف
القطاعات المالية - البنوكالبلدان المستهدفة
روسيا، بولندا، أوروغواي، الولايات المتحدة، المكسيك، تشيلي، البرازيل، تركيا، الهند، بنغلاديش، ماليزيا، تايوان، فيتنام، الفلبينملخص تنفيذي
APT38 هي مجموعة تهديد كورية شمالية ترعاها الدولة، ومن المعروف أنها تستهدف بشكل أساسي القطاع المالي؛ كان أول ظهور لهذه المجموعة في عام 2014. نظرًا لأن التركيز الرئيسي لهذه المجموعة هو صناعة التمويل، فإنها تستخدم احتيال SWIFT لسرقة الأموال من المنظمات المصابة، حيث تم تحديد معظم ضحاياها لاستخدام أدوات SWIFT. يستخدم APT38 الأدوات والبرامج الضارة التي تعد جزءًا من ترسانة مجموعات Lazarus و Temp.Hermit. هذه العصابات الإجرامية هي أيضًا مجموعات تهديدات ترعاها الدولة الكورية الشمالية، ولكن مع أنواع أهداف مختلفة. تشير الأنشطة الأخيرة لـ APT38 إلى أن مجموعة التهديد تستخدم الاستطلاع لجمع المعلومات حول البنية التحتية المصرفية الهندية، بهدف تنفيذ المزيد من الهجمات.التأثير
التأثير الفني
- تدمير البنية التحتية للنظام
- تشفير البيانات
تأثير الأعمال
- الخسارة المالية للمنظمة المستهدفة
- التجسس
- تسرب البيانات
- فقدان البيانات
التخفيف
- استخدم برامج محدثة
- تطبيق نسخة احتياطية منتظمة للبيانات
- تطبيق الوصول الأقل امتيازًا للملفات والأدلة
- تشفير المعلومات الحساسة
- تقييد المحتوى المستند إلى الويب
- حافظ على تخزين البيانات عن بُعد
التحليل الفني
التنفيذ
- تقوم المجموعة في البداية بجمع أكبر قدر ممكن من المعلومات حول هدفها، بدءًا من جمع المعلومات إما عن أحد موظفي الهدف أو موردي الطرف الثالث (أنظمة SWIFT).
- بعد جمع المعلومات، يقوم المهاجمون بتهيئة الوصول باستخدام طريقة هجوم Watering Hole، أو يستفيد المهاجمون من أي خادم Linux قديم موجود به نقاط ضعف.
- في الخطوة التالية، يقومون بإجراء استطلاع داخلي للبيئة المصابة باستخدام مجموعة من البرامج الضارة والأدوات الداخلية لفحص النظام.
- بمجرد أن يجمع المهاجمون المعلومات المطلوبة، يبدأون في الانتقال إلى خوادم SWIFT (إن وجدت) وتثبيت البرامج الضارة اللازمة لإجراء الاستطلاع في الخوادم المصابة وزرع الأبواب الخلفية داخل تلك الخوادم.
- في هذه المرحلة، يبدأ المهاجمون في تنفيذ البرامج الضارة التي تمكنهم من إدخال معاملات SWIFT الاحتيالية لتحويل الأموال إلى حسابات أخرى يمكن أن تكون موجودة في بلدان أخرى.
- في المرحلة النهائية، يحاول المهاجمون تدمير أي دليل على وجودهم في النظام المصاب. تشمل الإجراءات التي يتم اتخاذها حذف ملفات السجل ومسح القرص، وفي بعض الحالات قد يستخدمون برامج الفدية لإحباط الاكتشاف المستقبلي.
