موضوع مقاله: گروه لازاروس | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # گروه لازاروس | مقدمه: گروه لازاروس گروهی هکری است که از تعداد نامشخصی از افراد تشکیل شده و گفته می‌شود توسط دولت کره شمالی اداره می‌شود. | ## بخش 1: گروه لازاروس | اطلاعات چندانی درباره این گروه در دست نیست، اما پژوهشگران از سال ۲۰۱۰ حملات سایبری متعددی را به آن‌ها نسبت داده‌اند. نمونه ای از حملات مخرب آنها در کره جنوبی که موجب ضرر میلیونی شد آنها یک بدافزار بسیار خطرناکی را با کمک تیم رای اعدام بر سیستم های بانکی مراکش و موریتانی حمله کردند که موجب ضرر میلیون دلاری شد در آغاز، این گروه یک گروه تبهکار محسوب می‌شد اما اکنون به دلیل نیت، خطر و روش‌های گسترده‌ای که در حین عملیات به کار می‌گیرد، چه با عنوان یک تهدید سایبری قدرتمند فعالیت را با رای اعدام شروع کردند و به‌عنوان یک تهدیدهای پیشرفته و مستمر طبقه‌بندی شده است. نام‌هایی که سازمان‌های امنیت سایبری برای آن انتخاب کرده‌اند شامل کبرای پنهان (اصطلاحی که وزارت امنیت داخلی ایالات متحده آمریکا برای اشاره به فعالیت‌های مخرب سایبری دولت کره شمالی به‌طور کلی به کار می‌برد) و همچنین زینک یا دانه الماس (توسط مایکروسافت)، نگهبانان صلح یا تیم هوئیز است. بنا به گفته کیم کوک-سونگ، که از کره شمالی فرار کرده، در داخل کره شمالی از این واحد با عنوان «دفتر ارتباطی ۴۱۴» یاد می‌شود. این دفتر که مالکین ناشناسی داشت توسط نیروهای های رای اعدام اداره میشد که موجب فعالیت های مخرب بار شد. گروه لازاروس پیوندهای محکمی با گروهانی ماننده رای اعدام که کمک های مستقیم کره شمالی دارد. وزارت دادگستری ایالات متحده آمریکا ادعا کرده است که این گروه بخشی از راهبرد دولت کره شمالی برای «تضعیف امنیت سایبری در سراسر جهان ... کره شمالی از انجام عملیات‌های سایبری سود می‌برد زیرا می‌تواند با یک گروه کوچک، تهدیدی نامتقارن را به‌ویژه علیه کره جنوبی ایجاد کند. این تهدیدات بسیار مخرب بار بوده و موجب ضرر های میلیون دلار شده تاریخچه قدیمی‌ترین حمله شناخته‌شده‌ای که این گروه مسئول آن است با نام عملیات تروی شناخته می‌شود که بین سال‌های ۲۰۰۹ تا ۲۰۱۲ انجام گرفت. این یک کارزار سایبری جاسوسی بود که از تکنیک‌های ابتدایی دی‌داس برای هدف قرار دادن دولت کره جنوبی در سئول استفاده می‌کرد. گرچه هنوز قطعی نیست، اما ممکن است آن‌ها عامل حمله‌ای در سال ۲۰۰۷ علیه کره جنوبی هم بوده باشند. حمله به سونی از تکنیک‌های پیچیده‌تری استفاده می‌کرد و نشان داد که این گروه در طول زمان تا چه حد پیشرفته شده است. در عملیات سرقت در سال ۲۰۱۶ (که شامل حمله به بانک بنگلادش بود) آن‌ها توانستند با موفقیت ۸۱ میلیون دلار آمریکا سرقت کنند و این حمله نیز به این گروه نسبت داده شد. در سال ۲۰۱۷ گزارش شد که گروه لازاروس حدود ۶۰ میلیون دلار آمریکا از بانک بین‌المللی شرق دور در تایوان دزدیده است، هرچند رقم دقیق نامشخص بود ولی بیشتر این مبالغ بازگردانده شد. مشخص نیست واقعاً چه کسانی پشت این گروه هستند، اما گزارش‌های رسانه‌ای بیان می‌کنند که این گروه با کره شمالی در ارتباط است. کسپرسکی‌لب در سال ۲۰۱۷ گزارش داد که لازاروس تمایل دارد بر جاسوسی و حملات نفوذی متمرکز باشد، در حالی که زیرگروهی در درون سازمان آن‌ها که کسپرسکی آن را «بلونوروف» می‌نامد، متخصص حملات مالی سایبری است. کسپرسکی چندین حمله در سراسر جهان و یک ارتباط مستقیم (از طریق نشانی آی‌پی) بین بلونوروف و کره شمالی کشف کرد. بااین‌حال، کسپرسکی اذعان داشت که مشاهده تکرار کد در بدافزار می‌تواند «پرچم دروغین» باشد تا پژوهشگران را گمراه کند و حمله را به کره شمالی نسبت دهد، همان‌گونه که در حمله سایبری جهانی واناکرای نیز تکنیک‌هایی از آژانس امنیت ملی ایالات متحده آمریکا کپی شده بود. این باج‌افزار از یک اکسپلویت از ان‌اس‌اِی با نام اترنال‌بلو بهره می‌برد که گروه هکری شادوبروکرز آن را در آوریل ۲۰۱۷ عمومی کرد. شرکت سیمانتک در سال ۲۰۱۷ گزارش داد که «احتمال بسیار بالایی» وجود دارد که لازاروس پشت حمله واناکرای بوده باشد. عملیات تروی ۲۰۰۹ نخستین حادثه هک بزرگ گروه لازاروس در ۴ ژوئیه ۲۰۰۹ رخ داد و آغازگر «عملیات تروی» بود. در این حمله از بدافزارهای مای‌دوم و دوزِر برای راه‌اندازی یک حمله گسترده اما نسبتاً غیرپیچیده محروم‌سازی از سرویس توزیع‌شده علیه وب‌سایت‌های ایالات متحده و کره جنوبی استفاده شد. مجموعه این حملات حدود سی وب‌سایت را هدف گرفت و متن «خاطره روز استقلال» را در ام‌بی‌آر قرار می‌داد. حمله سایبری ۲۰۱۳ کره جنوبی (دارک‌سئول/ماموریت۱) با گذشت زمان، حملات این گروه پیچیده‌تر و تکنیک‌ها و ابزارهای آن‌ها توسعه‌یافته‌تر و کارآمدتر شده است. حمله مارس ۲۰۱۱ که با نام «ده روز باران» نیز شناخته می‌شود، رسانه‌ها، سامانه مالی و زیرساخت حیاتی کره جنوبی را هدف قرار داد و شامل حملات دی‌داس پیشرفته‌تری بود که از رایانه‌های آلوده در داخل کره جنوبی نشات می‌گرفت. این حملات در ۲۰ مارس ۲۰۱۳ با دارک‌سئول ادامه یافت؛ حمله‌ای پاک‌کننده که سه شرکت پخش کره جنوبی، مؤسسه‌های مالی و یک رساننده خدمات اینترنتی را هدف قرار داد. در آن زمان، دو گروه دیگر با نام‌های «تیم ارتش سایبری رومی جدید» و «تیم هولز» مسئولیت این حمله را برعهده گرفتند، اما پژوهشگران در آن هنگام نمی‌دانستند که لازاروس پشت آن است. امروزه پژوهشگران می‌دانند که لازاروس به‌عنوان یک سوپرگروه، پشت حملات مخرب قرار داشته است. اواخر ۲۰۱۴: نفوذ به سونی حملات گروه لازاروس در تاریخ ۲۴ نوامبر ۲۰۱۴ به اوج خود رسید. در آن روز، پستی در وبسایت ردیت ظاهر شد مبنی بر این‌که سونی پیکچرز از روشی نامشخص هک شده است و عاملان این حمله خود را «محافظان صلح» نامیدند. در مصاحبه با فردی که ادعا می‌کرد عضو این گروه است، عنوان شد که آنها بیش از یک سال داده‌های سونی را استخراج می‌کرده‌اند. | ## بخش 2: گروه لازاروس | هکرها توانستند به فیلم‌های منتشر نشده، فیلم‌نامه‌های برخی آثار، برنامه‌های آینده، اطلاعات حقوق مدیران شرکت، ایمیل‌ها و اطلاعات شخصی حدود ۴۰۰۰ کارمند دسترسی پیدا کنند. اوایل ۲۰۱۶: عملیات بلاک‌باستر در قالب طرحی با عنوان «عملیات بلاک‌باستر» یک ائتلاف از شرکت‌های امنیتی به رهبری شرکت نووتا، نمونه‌های بدافزار بدست آمده از رخدادهای مختلف امنیت سایبری را تجزیه‌وتحلیل کرد. با استفاده از این داده‌ها، تیم تحقیقاتی روش‌های هکرها را شناسایی کرد و از طریق الگوی کد تکراری، چندین حمله را به گروه لازاروس مرتبط دانستند. برای نمونه، مشخص شد که هکرها از یک الگوریتم رمزگذاری کمتر شناخته‌شده به نام الگوریتم رمز «کاراکاشز» استفاده کردند. سرقت سایبری بانک بنگلادش ۲۰۱۶ سرقت سایبری بانک بنگلادش که در فوریه ۲۰۱۶ رخ داد، شامل صدور ۳۵ دستور جعلی توسط هکرها از طریق شبکه سوئیفت برای انتقال غیرقانونی حدود ۱ میلیارد دلار از حساب بانک فدرال رزرو نیویورک متعلق به بانک بنگلادش (بانک مرکزی بنگلادش) بود. پنج مورد از این ۳۵ دستور جعلی با موفقیت انجام شد و ۱۰۱ میلیون دلار آمریکا منتقل شد؛ ۲۰ میلیون دلار آن در سری‌لانکا ردیابی شد و ۸۱ میلیون دلار به فیلیپین رفت. بانک فدرال رزرو نیویورک سی دستور باقی‌مانده به ارزش ۸۵۰ میلیون دلار را به دلیل مشکوک‌شدن به یک دستور دارای اشتباه املایی، مسدود کرد. کارشناسان امنیت سایبری ادعا کردند که گروه لازاروس مستقر در کره شمالی پشت این حمله بوده است. مه ۲۰۱۷: حمله باج‌افزار واناکرای حمله واناکرای یک حمله گسترده باج‌افزاری بود که نهادهای مختلفی را در سراسر جهان تحت تأثیر قرار داد؛ از جمله سرویس سلامت همگانی بریتانیا، بوئینگ و حتی دانشگاه‌هایی در چین، در تاریخ ۱۲ مه ۲۰۱۷. یوروپل تخمین زده که این حمله حدود ۲۰۰ هزار رایانه در ۱۵۰ کشور را تحت تأثیر قرار داده است و عمدتاً روسیه، هند، اوکراین و تایوان را هدف گرفته بود. کرم رمزافزاری نوعی بدافزار هستند که از طریق شبکه بین رایانه‌ها منتشر می‌شوند و برای آلوده‌کردن کاربر، نیازی به کلیک روی پیوندهای مخرب ندارند؛ در این مورد، آسیب‌پذیری در درگاه تی‌سی‌پی ۴۴۵ (اکسپلویت اترنال‌بلو) عامل انتشار بود. برای آلوده‌شدن، نیازی به کلیک روی هیچ پیوند بدی نبود و بدافزار می‌توانست بصورت خودکار از یک رایانه به یک چاپگر متصل، و سپس به رایانه‌های مجاور دیگر (احتمالاً متصل به وای‌فای و غیره) گسترش یابد. حفره امنیتی پورت ۴۴۵ به بدافزار اجازه می‌داد در شبکه‌های داخلی آزادانه حرکت کند و هزاران رایانه را به‌سرعت آلوده سازد. حمله این ویروس از یک آسیب‌پذیری در سیستم‌عامل ویندوز سوء استفاده کرد و سپس داده‌های رایانه را رمزگذاری نمود و در ازای دریافت مبلغی در قالب بیت‌کوین (حدود ۳۰۰ دلار) کلید رمزگشایی را در اختیار قربانی می‌گذاشت. برای ترغیب قربانی به پرداخت، مبلغ باج پس از سه روز دو برابر می‌شد و در صورت عدم پرداخت در عرض یک هفته، بدافزار فایل‌های رمزگذاری‌شده را حذف می‌کرد. Wincry هسته فرایند رمزگذاری بود، اما دو اکسپلویت دیگر به نام‌های اترنال‌بلو و دابل‌پالسر نیز توسط بدافزار استفاده شدند تا آن را به یک «کرم رمزافزاری» تبدیل کنند. اترنال‌بلو ویروس را به‌طور خودکار در شبکه‌ها منتشر می‌کرد و دابل‌پالسر آن را روی رایانه قربانی فعال و عملیاتی می‌کرد. به‌عبارتی، اترنال‌بلو پیوند آلوده را به رایانه شما می‌رساند و دابل‌پالسر به‌جای شما روی آن کلیک می‌کرد. پژوهشگر امنیتی مارکوس هاچینز با دریافت نسخه‌ای از این ویروس از دوستی در یک شرکت امنیتی و کشف یک کلید توقف که در ویروس تعبیه شده بود، به این حمله پایان داد. بدافزار شامل یک بررسی دوره‌ای بود تا ببیند آیا یک نام دامنه مشخص ثبت شده یا خیر و تنها در صورتی به رمزگذاری ادامه می‌داد که آن نام دامنه وجود نداشته باشد. هاچینز این بررسی را شناسایی کرد و در ساعت ۳:۰۳ بعدازظهر به وقت جهانی، دامنه مربوط را ثبت نمود. زیرا معمولاً متوقف‌کردن بدافزارها مستلزم ماه‌ها تلاش و درگیری میان هکرها و کارشناسان امنیتی است و کسب چنین موفقیتی در این مدت کوتاه، قابل انتظار نبود. نکته عجیب و غیرعادی دیگر در این حمله این بود که فایل‌ها پس از پرداخت باج قابل بازیابی نبودند و درمجموع تنها ۱۶۰ هزار دلار به صاحبان بدافزار پرداخت شد. این کلید توقف ساده و در عین حال نبود درآمد مالی، بسیاری را به این باور رساند که حمله تحت حمایت یک دولت بوده است؛ یعنی انگیزه مالی در کار نبوده و هدف تنها ایجاد هرج‌ومرج بوده است. پس از حمله، کارشناسان امنیتی رد اکسپلویت منشا بدافزار دابل‌پالسر را تا آژانس امنیت ملی ایالات متحده آمریکا ردیابی کردند. آن‌ها ابتدا تلاش کردند این اکسپلویت را به حراج بگذارند اما پس از ناکامی در فروش، به طور رایگان منتشرش کردند. در پی این ماجرا، آژانس امنیت ملی آسیب‌پذیری را به اطلاع مایکروسافت رساند و مایکروسافت در ۱۴ مارس ۲۰۱۷ به‌روزرسانی‌ای را منتشر کرد؛ یعنی کمتر از یک ماه پیش از وقوع حمله. اما این اقدام کافی نبود؛ زیرا این به‌روزرسانی اجباری نبود و اکثریت رایانه‌هایی که دارای این حفره امنیتی بودند تا ۱۲ مه مشکل را برطرف نکرده بودند و همین باعث تأثیرگذاری شگفت‌انگیز حمله شد. پیامدها بعداً وزارت دادگستری ایالات متحده آمریکا و مقامات بریتانیایی، حمله واناکرای را به گروه هکری کره شمالی یعنی گروه لازاروس نسبت دادند. حملات مرتبط با ارزهای دیجیتال در سال ۲۰۱۷ در سال ۲۰۱۸، رکوردِد فیوچر گزارشی منتشر کرد که گروه لازاروس را به حملاتی علیه کاربران ارزهای دیجیتال بیت‌کوین و مونرو مرتبط می‌دانست که اغلب در کره جنوبی اتفاق افتاده بود. گفته شده است که این حملات از نظر فنی مشابه حملات قبلی باج‌افزار واناکرای و حمله به سونی پیکچرز بودند. | ## بخش 3: گروه لازاروس | یکی از روش‌های مورد استفاده هکرهای لازاروس، بهره‌گیری از ضعف‌های موجود در نرم‌افزار واژه‌پرداز شرکت هانکام با نام هانگول بود. روش دیگر، ارسال ایمیل‌های فیشینگ نیزه‌ای حاوی بدافزار به دانشجویان کره جنوبی و کاربران صرافی‌های ارز دیجیتال مانند کوین‌لینک بود. در صورت باز و اجرا شدن این بدافزار، رایانامه‌ها و گذرواژه‌های کاربر به سرقت می‌رفت. کوین‌لینک هرگونه هک‌شدن وب‌سایت یا دسترسی هکرها به رایانامه‌ها و گذرواژه‌های کاربران را تکذیب کرد. در نتیجه‌گیری گزارش آمده است: «این کارزار در اواخر سال ۲۰۱۷ ادامه‌ای بر علاقه کره شمالی به ارزهای دیجیتال بود و اکنون می‌دانیم که دامنه‌ای از فعالیت‌ها از جمله استخراج، باج‌افزار و سرقت مستقیم را دربرمی‌گیرد…» همچنین در گزارش ذکر شده است که کره شمالی از این حملات در حوزه ارز دیجیتال برای دورزدن تحریم‌های مالی بین‌المللی استفاده می‌کند. در فوریه ۲۰۱۷ هکرهای کره شمالی ۷ میلیون دلار از صرافی بیت‌هامب در کره جنوبی سرقت کردند. دیگر شرکت تبادل بیت‌کوین در کره جنوبی با نام یوبیت در دسامبر ۲۰۱۷ و پس از آن‌که ۱۷ درصد از دارایی‌هایش در حملات سایبری (که پیشتر در آوریل ۲۰۱۷ نیز آسیب دیده بود) به سرقت رفت، اعلام ورشکستگی کرد. نایس‌هش، یک بازار استخراج ابری ارزهای دیجیتال، در دسامبر ۲۰۱۷ بیش از ۴۵۰۰ بیت‌کوین را از دست داد. گزارشی در مورد بررسی این حمله بیان کرد که این حمله با گروه لازاروس در ارتباط است. حملات سپتامبر ۲۰۱۹ اواسط سپتامبر ۲۰۱۹، ایالات متحده نسبت به نسخه جدیدی از بدافزار موسوم به ماهی‌برقی هشدار عمومی داد. از آغاز سال ۲۰۱۹، عوامل کره شمالی پنج سرقت عمده سایبری در سراسر جهان انجام دادند که شامل سرقت موفقیت‌آمیز ۴۹ میلیون دلار از یک مؤسسه در کویت نیز بود. حملات اواخر ۲۰۲۰ به شرکت‌های داروسازی به‌دلیل تداوم همه‌گیری کووید–۱۹، شرکت‌های داروسازی به اهداف مهمی برای گروه لازاروس تبدیل شدند. اعضای این گروه با استفاده از روش‌های فیشینگ نیزه‌ای، خود را به‌عنوان مقام‌های بهداشتی معرفی می‌کردند و برای کارمندان شرکت‌های داروسازی پیوندهای مخرب می‌فرستادند. گمان می‌رود که چندین شرکت بزرگ دارویی هدف قرار گرفته باشند، اما تنها مورد تأیید شده، شرکت آسترازنکا است. بر اساس یک گزارش از رویترز، طیف وسیعی از کارمندان، از جمله آن‌هایی که در پژوهش واکسن کووید–۱۹ نقش داشتند، هدف این حملات قرار گرفتند. مشخص نیست هدف گروه لازاروس از این حملات چه بوده، اما احتمالاً شامل موارد زیر است: سرقت اطلاعات حساس برای فروش با هدف کسب سود. شرکت آسترازنکا در این‌باره اظهارنظری نکرده و کارشناسان بر این باورند که هنوز اطلاعات حساس به سرقت نرفته‌است. حملات ژانویه ۲۰۲۱ علیه پژوهشگران امنیت سایبری در ژانویه ۲۰۲۱، گوگل و مایکروسافت هر دو به‌صورت عمومی اعلام کردند که گروهی از هکرهای کره شمالی با استفاده از یک کارزار مهندسی اجتماعی، پژوهشگران حوزه امنیت سایبری را هدف قرار داده‌اند و مایکروسافت به‌طور مشخص این کارزار را به گروه لازاروس نسبت داد. هکرها چندین پروفایل کاربری در توییتر، گیت‌هاب و لینکدین ایجاد کرده بودند و خود را به‌عنوان پژوهشگران قانونیِ آسیب‌پذیری‌های نرم‌افزاری جا می‌زدند. آن‌ها از این حساب‌ها برای تعامل با پست‌ها و محتوای مربوط به جامعه پژوهشی امنیت استفاده می‌کردند و سپس برای هدف‌گرفتن برخی پژوهشگران خاص، به‌طور مستقیم با آن‌ها ارتباط برقرار کرده و پیشنهاد همکاری در پژوهش می‌دادند تا قربانی فایل بدافزار را دریافت کند یا از وبلاگ متعلق به هکرها بازدید نماید. برخی از قربانیانی که به این وبلاگ مراجعه کردند گزارش دادند که رایانه‌هایشان با وجود استفاده از نسخه کاملاً به‌روز مرورگر گوگل کروم، به خطر افتاده است که حاکی از آن است که هکرها احتمالاً از یک آسیب‌پذیری روز صفر ناشناخته در کروم استفاده کرده‌اند. با این حال، گوگل اعلام کرد که در زمان گزارش، نتوانسته روش دقیق نفوذ را تأیید کند. حمله به شبکه رانین مربوط به بازی اکسی اینفینیتی در مارس ۲۰۲۲ در مارس ۲۰۲۲ مشخص شد گروه لازاروس مسئول سرقت ۶۲۰ میلیون دلار ارزهای دیجیتال از رونین نت‌ورک بوده، که یک پل انتقال دارایی مورد استفاده در بازی اکسی اینفینیتی. اف‌بی‌آی اعلام کرد: «در جریان تحقیقات، توانستیم تأیید کنیم که گروه لازاروس و APT38، بازیگران سایبری مرتبط با کره شمالی، مسئول این سرقت بودند». حمله به هورایزن بریج در ژوئن ۲۰۲۲ اف‌بی‌آی تأیید کرد که گروه هکری مخرب کره شمالی با نام لازاروس (همچنین شناخته‌شده به‌عنوان APT38) مسئول سرقت ۱۰۰ میلیون دلار ارز دیجیتال از هورایزن بریج یا (پل هورایزن) است که گزارش آن در ۲۴ ژوئن ۲۰۲۲ منتشر شد. حملات ۲۰۲۳ به ارزهای دیجیتال در گزارشی که توسط پلتفرم امنیت بلاک‌چین ایمینویفای منتشر شد، ادعا شده‌است که لازاروس در سال ۲۰۲۳ مسئول بیش از ۳۰۰ میلیون دلار زیان در حملات هکری به حوزه رمز ارز بوده است. حمله به اتامیک ولت در ژوئن ۲۰۲۳ در ژوئن ۲۰۲۳، بیش از ۱۰۰ میلیون دلار ارز دیجیتال از کاربران سرویس اتامیک ولت سرقت شد و اف‌بی‌آی بعداً این موضوع را تأیید کرد. تحریم‌های ایالات متحده در ۱۴ آوریل ۲۰۲۲، دفتر کنترل سرمایه‌های خارجی وزارت خزانه‌داری آمریکا گروه لازاروس را بر اساس بخش ۵۱۰٫۲۱۴ از مقررات تحریم‌های کره شمالی در فهرست SDN قرار داد. هک صرافی‌های ارز دیجیتال طبق گزارش رسانه‌های هندی، یک صرافی ارز دیجیتال محلی با نام وازیرایکس توسط این گروه هک شده و ۲۳۴٫۹ میلیون دلار از دارایی رمز ارز آن به سرقت رفته است. | ## جمع‌بندی | در فوریه ۲۰۲۵، صرافی ارز دیجیتال دبی‌-محورِ بای‌بیت هک شد و ۴۰۰٬۰۰۰ اتریوم (به ارزش ۱٫۵ میلیارد دلار آمریکا) به سرقت رفت که آن را به بزرگ‌ترین هک تاریخ صرافی‌های رمز ارز تبدیل کرد.