هاكروا كوريا الشمالية يكملون قائمة 216 خادمًا في 24 أكتوبر، والولايات المتحدة تتصدر بـ49 هدفًا

قائمة بـ216 خادمًا أُغلقت في 24 أكتوبر

أنجز القراصنة المرتبطون بكوريا الشمالية قائمة أهداف تضم 216 خادم ويب في 24 أكتوبر، أي قبل خمسة أيام فقط من خسارة Binance مبلغ 6.3 مليار دولار، وتصدرت الولايات المتحدة القائمة بـ49 هدفًا. وشركة Cyfirma للأمن السيبراني، التي حصلت على سجلات المحادثات الخاصة للجماعة، نسبتها الحملة بثقة عالية إلى مجموعة Lazarus، الشبكة الأكثر شهرة بين شبكات القرصنة الحكومية الكورية الشمالية. وجاءت السجلات من قناة خاصة استخدمها المنفذون للتنسيق، وهي تحدد يوم اكتمال القائمة دون أن توثق متى بدأ العمل، وهي فجوة يتركها التحذير الأمني مفتوحة. وتأتي اليابان بعد الولايات المتحدة بـ47 خادمًا، فيما تحتفظ الهند بـ31 وكوريا الجنوبية بـ30، وقد برزت تفاصيل كوريا الجنوبية في تقارير محلية نُشرت يوم الأحد. وتشكل الدول الأربع المذكورة معًا 157 خادمًا من أصل 216، ويظل العدد الأمريكي البالغ 49 أكبر حصة دولة واحدة في السجل. وقد بحث الفريق عن آلات تشغل PHP، لغة الخوادم التي تقف وراء نحو 69% من إجمالي المواقع وفق أرقام W3Techs التي نقلتها Tenable، وهذا ما يفكر لسبب قدرة عائلة ثغرة واحدة على الانتشار عبر جزء واسع من الويب في وقت واحد. وكل بند في القائمة يمثل خادم ويب لا جهازًا لمستخدم نهائي، أي أن أعمال التجهيز استهدفت البنية التحتية لا حواسيب الأفراد أو هواتفهم. وثغرتان حرجتان، أُطلق عليهما اسم PHP2Shell، سمحتا لطرف خارجي بالسيطرة الكاملة على أي خادم غير مُحدَّث يعمل بإصدارات متأثرة. والمسافة الخماسية بين اكتمال القائمة وخسارة Binance هي ما لفت الانتباه الخارجي، مع أن التحذير الأمني نفسه لا يرسم أي صلة بين حملة التجهيز وسرقة المنصة.

PHP2Shell وساعة ترقيع خماسية الأيام

احتلت الثغرتان مركز العملية، واسمهما يصف المسار الكامل: من خلل في معالجة PHP إلى سيطرة بعيدة تامة على الجهاز المضيف. وأصدر مطورو PHP إصلاحات للثغرتين في 21 أكتوبر. وبعد خمسة أيام، أدرجت CISA، وكالة أمن البنية التحتية والأمن السيبراني الأمريكية، الثغرتين في قائمتها للثغرات المستغلة فعليًا في الميدان، وهو الفهرس الذي تعامل معه الوكالات الفيدرالية كأولوية ترقيع عاجلة. وبالنسبة لأي جهة تشغل PHP في بيئة إنتاجية، أصبحت تلك الفترة الخماسية هي المهلة الفعلية. ومن أعاد تشغيل تطبيقاته دون إعادة بناء بيئة PHP نفسها، أو ترقّع متأخرًا، أبقى باب التعرض مفتوحًا. وتوضح سجلات المحادثات الهدف وراء أعمال التجهيز. كتب أحد المنفذين، وسمي في النص "المنفذ 1": "نحن بحاجة إلى نتيجة مالية، وكل ما يؤدي إلى مادة مالية أو تداولية أو متعلقة بالمحافظ". وفي صياغة التحذير، يغطي هذا الطلب كل ما قد يوصل الفريق إلى الأموال: بيانات اعتماد المنصات، ووصول التداول، وحسابات العقود الآجلة للعملات الرقمية، وبيانات المحافظ المخزنة. ولا شيء في السجلات يقيّد النطاق بمنطقة واحدة أو منصة واحدة. وتحدث المنفذون أيضًا بتبجح عن نتائجهم، مدّعين أن معظم الخوادم الـ216 "تحتوي أصلًا على شيء مزروع" وأن القائمة نما عدد أهدافها لاحقًا إلى 581. ولم تتحقق Cyfirma من أي من العبارتين. وحكمها على القائمة نفسها مقتضب: "الظهور في القائمة يدل على استهداف، لا على اختراق". ولم يسمّ التحذير أي ضحية مؤكدة، ولم يحدد القطاعات التي تنتمي إليها الخوادم الأمريكية الـ49. وهذا الصمت مقصود: قاعدة الأدلة لدى الشركة هي قناة المحادثة نفسها، لا تحليل جنائي للخوادم. أما المعالجة، كما يعرضها تحذير Cyfirma للتهديدات، فتنحصر في خطوتين: ترقيع PHP نفسه، ثم إعادة تشغيل كل عمليات PHP. وتحذر الشركة من أن تحديث الموقع وحده يترك الباب مواربًا.

سؤال Binance

لا يذكر تحذير Cyfirma اسم Binance إطلاقًا. وقد اتهمت مكتب التحقيقات الفيدرالي FBI كوريا الشمالية على نحو منفصل بسرقة المنصة، ويتحرك المدعون الأمريكيون لضبط مبلغ 1.2 مليار دولار من عوائدها. وسجلت Chainalysis في أبحاث سابقة أيضًا سرقة 387 مليون دولار من Bitget على حساب قراصنة مرتبطين بكوريا الشمالية. تفصل القائمة وخسارة Binance خمسة أيام، لكن لا دليل منشور يحول هذا التوقيت إلى سبب؛ إذ تبلغ الخسائر المؤكدة المرتبطة بكوريا الشمالية حول المنصات نحو 1.6 مليار دولار مجتمعة في قضية الضبط وملف Bitget، قبل احتساب أي شيء من حملة الخوادم الـ216. ويثير هذا التمييز أهمية بالغة لحاملي العملات: اختراق خادم ويب لا يصل بذاته إلى العملات المحفوظة ذاتيًا، سواء عبر محفظة عتادية أو منتج مثل Tangem Pay، في حين تستند الأرصدة المودعة لدى الأمناء إلى بنية تحتية للمنصات استهدفتها تاريخيًا فرق مرتبطة بالشبكة نفسها، من الجسور بين السلاسل إلى أنظمة المنصات. وحتى يوم الأحد، يبقى تحذير Cyfirma آخر كلمة موثقة: استهداف مؤكد، واختراق غير مثبت.