أجهزة ماك، ومحافظ، ومفاتيح SSH: طريق السرقة الهادئ الذي يواصل المشغّلون الكوريون الشماليون ملاحقته

الخطر الفوري في اختراق جهاز Mac لا يكمن في الشعار الموجود على الغطاء، بل في ما يوجد داخل ملف المستخدم الشخصي: مواد المحافظ، وأسرار المتصفح، ومفاتيح SSH التي قد تعيش أطول من الجهاز نفسه. وتقوم حملة تُنسب إلى مجموعة التهديد الكورية الشمالية Sapphire Sleet على هذه الفكرة، مع أهداف مستمدة من أوساط Web3، ورأس المال الاستثماري، والعملات المشفرة. والهدف المعلن بسيط وخطير: الاستيلاء على أسرار يمكن تحقيق الربح منها أو إعادة استخدامها لاحقًا.

حقائق سريعة

• يُنسب Sapphire Sleet إلى كوريا الشمالية وارتبط بحملة برمجيات خبيثة على macOS.
• تشمل الأهداف مطوري Web3، وشركات رأس المال الاستثماري، ومنظمات العملات المشفرة.
• الهدف المعلن هو سرقة مواد محافظ العملات المشفرة ومفاتيح SSH.
• يوصف النشاط بأنه مستمر منذ عام 2020، ما يشير إلى إصرار وليس إلى موجة عابرة لمرة واحدة.
• على macOS، يكون الخطر الأكبر غالبًا هو سرقة الأسرار وإعادة استخدامها، لا استغلالًا لامعًا.

لماذا يهم هذا تقنيًا

أفضل طريقة لفهم هذا الأمر هي باعتباره مشكلة في بيانات الاعتماد والمواد المفتاحية. يمكن للمحافظ أن تحتوي على الأسرار اللازمة لنقل الأصول الرقمية. ويمكن لمفاتيح SSH الخاصة أن تفتح الخوادم البعيدة، وأنظمة البناء، وأحمال العمل السحابية إذا كانت معاد استخدامها أو موثوقًا بها من عدة أنظمة. وبعبارة أخرى، قد يصبح جهاز عمل واحد مخترق بوابة إلى ما هو أكثر بكثير من الملفات المحلية.

صُممت دفاعات منصة Apple لتقليل تثبيت الشيفرة غير الموثوقة عبر التوقيع، وnotarization، وXProtect. لكن ذلك يبقي طبقة بشرية في الوسط. فإذا شغّل المستخدم ملفًا خبيثًا، أو وافق على مطالبة مضللة، أو اتبع تعليمات تحديث مزيفة، فقد يُضعف ذلك طبقة الحماية عبر إساءة استغلال الثقة بدلًا من وجود خلل برمجي.

حتى وقت كتابة هذا التقرير، لم تكن المعلومات العامة قد حددت بالكامل السبب التقني الجذري، أو النطاق الكامل للمستخدمين المتأثرين، أو ما إذا كانت الأنظمة اللاحقة قد تعرضت للاختراق. والمعلومات المتاحة تدعم تحليلًا للمخاطر، لا ادعاءً حاسمًا بحدوث اختراق واسع النطاق.

العائد المحتمل للهجوم

من منظور دفاعي، تكمن جاذبية هذا النوع من الحملات في النفوذ. فقد تؤدي سرقة المحافظ إلى خطر مباشر على الأصول إذا تم التقاط مواد البذرة، أو بيانات الاعتماد المخزنة في المتصفح، أو بيانات الاسترداد. كما يمكن أن تؤدي سرقة مفاتيح SSH إلى خطر في الوصول إذا كان المفتاح نفسه موثوقًا عبر عدة مضيفين، أو إذا تُرك المفتاح غير محمي بعبارة مرور قوية. وبالنسبة للمستخدمين ذوي الصلاحيات العالية، مثل المطورين أو المستثمرين، قد يحمل جهاز طرفي واحد مفاتيح الوصول إلى العديد من الأنظمة.

كما أن استهداف المنظمات المرتبطة بالعملات المشفرة ورأس المال الاستثماري يتماشى أيضًا مع نمط مألوف لتحقيق الربح. فمثل هذه البيئات غالبًا ما تجمع بين القيمة المالية، والوصول المميز، وسير العمل الداخلي الحساس. وهذا يجعلها جذابة حتى عندما تكون طريقة الإصابة الأولية بسيطة، لأن الأسرار اللاحقة قد تكون أكثر قيمة بكثير من البرمجية الخبيثة نفسها.

دروس دفاعية

لا يتمثل الرد العملي في التعامل مع macOS على أنه محصن أو محكوم عليه بالفشل، بل في افتراض أن الأسرار الموجودة على الجهاز الطرفي هي أصول عالية القيمة. حافظ على تحديث الأنظمة، وصُنْ حماية Apple المدمجة، ودقّق في مطالبات التحديث غير المتوقعة، وملفات الأرشيف، وتعليمات الطرفية. احمِ مفاتيح SSH الخاصة بعبارات مرور قوية، وأعد تدويرها إذا اشتُبه في تعرضها، واستبدل بسرعة بيانات الاعتماد المتعلقة بالمحافظ عندما يكون الاختراق محتملًا. كما أن مراقبة تنفيذ البرامج النصية غير المعتاد، ونشاط الملفات المؤقتة، والتحميلات الصادرة قد تساعد أيضًا في كشف سلوك السرقة مبكرًا.

الخلاصة

الدرس الأوسع واضح: غالبًا ما تنتصر العمليات السيبرانية الحديثة عبر سرقة الثقة، لا عبر كسر الشيفرة. وعندما يحمل جهاز Mac بيانات محافظ، ومفاتيح، ووصولًا مميزًا، فإن الأصل الحقيقي ليس الجهاز، بل المواد السرية التي يمكن أن يكشفها هذا الجهاز. وهذا هو الخطر الذي يحتاج المدافعون إلى التصميم لمواجهته.

TECHCROOK

مفتاح أمني مادي: جهاز عامل ثانٍ مادي لتسجيل الدخول إلى البريد الإلكتروني، وحسابات المطورين، والخدمات الحساسة الأخرى. يضيف خطوة عتادية منفصلة يصعب إعادة استخدامها مقارنة بكلمات المرور وحدها، ويُستخدم عادةً مع مديري كلمات المرور وسير عمل الوصول عبر SSH.

ورقة Techcrook: مفتاح أمني مادي

WIKICROOK

• macOS: نظام تشغيل سطح المكتب من Apple، ويستخدم وسائل حماية متعددة الطبقات مثل توقيع التطبيقات وnotarization وXProtect.
• مفاتيح SSH: أزواج مفاتيح عامة/خاصة تُستخدم للمصادقة على الأنظمة البعيدة؛ ويجب أن يبقى المفتاح الخاص سريًا.
• محفظة مشفرة: برمجية أو عتاد يخزن الأسرار المستخدمة للتحكم في أصول العملات المشفرة.
• Notarization: عملية المراجعة التي تجريها Apple لتطبيقات Mac والتي تساعد في اكتشاف البرمجيات المعروفة بأنها خبيثة أو التي جرى العبث بها.
• Keychain: وحدة التخزين المشفرة في macOS لبيانات الاعتماد وكلمات المرور والعناصر الحساسة الأخرى.