شركة أمنية تُبلغ عن مشتبه بهم من كوريا الشمالية يستهدفون شركات التشفير

رسالة من BlockBeats، في 9 مارس، كشفت مؤسسة البحث الأمني Ctrl-Alt-Intel أن مجموعة من القراصنة المشتبه بعلاقتهم بكوريا الشمالية شنّت هجمات على منصات الرهن، ومزوّدي برامج البورصات، وبورصات التشفير. واستغل المهاجمون ثغرة React2Shell (CVE-2025-55182) وبيانات الوصول إلى AWS التي تم الحصول عليها للوصول إلى بيئات السحابة، وقائمة الموارد مثل S3 وEC2 وRDS وEKS وECR، واستخرجوا المفاتيح والبيانات الائتمانية من Secrets Manager وملفات Terraform وتكوين Kubernetes وحاويات Docker.

يُشير الباحثون إلى أن المهاجمين قاموا بتنزيل خمسة صور Docker وسرقة رمز المصدر، بما في ذلك مكونات البرمجيات المرتبطة بعملاء ChainUp. وتتضمن البنية التحتية للهجوم خوادم كورية جنوبية على العنوان 64.176.226[.]36 واسم النطاق itemnania[.]com. وتشير التقارير إلى أن هذا النشاط يتماشى مع سمات الهجمات المرتبطة بكوريا الشمالية، لكن درجة الثقة في النسبة ضعيفة، ولم يُحدد مصدر بيانات اعتماد AWS.