هجمات DDoS عام 2009 ضد كوريا الجنوبية

كانت هجمات يوليو 2009 الإلكترونية سلسلة من الهجمات الإلكترونية المنسقة التي استهدفت مواقع حكومية وإعلامية ومالية رئيسية في كوريا الجنوبية والولايات المتحدة . ^{[ 1 ]} تضمنت هذه الهجمات تفعيل شبكة بوت نت - وهي عبارة عن عدد كبير من أجهزة الكمبيوتر المخترقة - التي دخلت بشكل خبيث إلى المواقع المستهدفة بهدف إحداث ضغط هائل على خوادمها نتيجة لتدفق حركة المرور، وهو ما يُعرف بهجوم DDoS . ^{[ 1 ]} كانت معظم أجهزة الكمبيوتر المخترقة موجودة في كوريا الجنوبية. ^{[ 2 ]} يتباين العدد التقديري لأجهزة الكمبيوتر المخترقة بشكل كبير؛ حوالي 20,000 جهاز وفقًا لجهاز المخابرات الوطني الكوري الجنوبي ، وحوالي 50,000 جهاز وفقًا لمجموعة الاستجابة لتكنولوجيا الأمن التابعة لشركة سيمانتك ، ^{[ 3 ]} وأكثر من 166,000 جهاز وفقًا لباحث في أمن الحاسوب من فيتنام قام بتحليل سجلات خادمين كان المهاجمون يتحكمون بهما. ^{[ 4 ]} كشف تحقيق أن 39 موقعًا إلكترونيًا على الأقل كانت أهدافًا لهذه الهجمات، وذلك استنادًا إلى ملفات مخزنة على أنظمة مخترقة. ^{[ 5 ] [ 6 ]}

أدى استهداف الهجمات وتوقيتها - التي بدأت في نفس يوم تجربة صاروخ باليستي قصير المدى لكوريا الشمالية - إلى ترجيح كونها من كوريا الشمالية ، على الرغم من عدم تأكيد هذه الترجيحات. ^{[ 7 ] [ 8 ] [ 9 ]} وقد وجد الباحثون لاحقًا روابط بين هذه الهجمات الإلكترونية، وهجمات دارك سيول عام 2013، وهجمات أخرى نُسبت إلى مجموعة لازاروس . ^{[ 10 ]} ويعتبر البعض هذا الهجوم بداية سلسلة من هجمات الحرمان من الخدمة الموزعة (DDoS) التي نفذتها لازاروس تحت مسمى "عملية طروادة". ^{[ 11 ]}

على الرغم من استهداف الهجمات لمواقع إلكترونية رئيسية في القطاعين العام والخاص، أشار مكتب الرئاسة الكورية الجنوبية إلى أن الهجمات نُفذت بهدف إحداث اضطراب، وليس سرقة البيانات. ^{[ 17 ]} مع ذلك، ادعى خوسيه نازاريو، مدير شركة أمريكية لأمن الشبكات، أن الهجوم لم ينتج عنه سوى 23 ميغابت من البيانات في الثانية، وهو ما لا يكفي لإحداث اضطرابات كبيرة. ^{[ 5 ]} ومع ذلك، أبلغت مواقع إلكترونية عن انقطاعات في الخدمة لعدة أيام بعد الهجوم. ^{[ 8 ]}

لاحقًا، تبيّن أن الشفرة الخبيثة المسؤولة عن الهجوم، Trojan.Dozer وبرنامج التثبيت المصاحب لها W32.Dozer، مُبرمجة لتدمير البيانات على أجهزة الكمبيوتر المصابة ومنع إعادة تشغيلها. ^{[ 3 ]} من غير الواضح ما إذا كانت هذه الآلية قد فُعّلت بالفعل. قال خبراء الأمن إن الهجوم أعاد استخدام شفرة من دودة Mydoom لنشر العدوى بين أجهزة الكمبيوتر. ^{[ 3 ] [ 6 ]} وأضاف الخبراء أن البرمجية الخبيثة المستخدمة في الهجوم "لم تستخدم أي تقنيات متطورة للتهرب من اكتشافها بواسطة برامج مكافحة الفيروسات، ولا يبدو أنها كُتبت بواسطة شخص ذي خبرة في برمجة البرمجيات الخبيثة". ^{[ 6 ]}

كان من المتوقع أن تكون التكاليف الاقتصادية المرتبطة بتعطل المواقع الإلكترونية كبيرة، حيث أن هذا العطل قد منع الناس من إجراء المعاملات أو شراء السلع أو ممارسة الأعمال التجارية. ^{[ 18 ]}

لم يُعرف بعد من يقف وراء هذه الهجمات. وتشير التقارير إلى أن نوع الهجمات المستخدمة، والمعروفة باسم هجمات الحرمان من الخدمة الموزعة ، كانت بسيطة. ^{[ 9 ] [ 5 ] [ 19 ]} ونظرًا لطول أمد هذه الهجمات، يُنظر إليها على أنها سلسلة هجمات أكثر تنسيقًا وتنظيمًا. ^{[ 8 ]}

بحسب جهاز المخابرات الوطني الكوري الجنوبي، تم تعقب مصدر الهجمات، وقامت الحكومة بتفعيل فريق استجابة طارئة للإرهاب الإلكتروني، والذي قام بدوره بحجب الوصول إلى خمسة مواقع مضيفة تحتوي على الشفرة الخبيثة، و86 موقعًا إلكترونيًا قامت بتحميل الشفرة، وتقع هذه المواقع في 16 دولة، من بينها الولايات المتحدة وغواتيمالا واليابان وجمهورية الصين الشعبية ، إلا أن كوريا الشمالية لم تكن من بينها. ^{[ 20 ]}

أثار توقيت الهجوم شكوك بعض المحللين تجاه كوريا الشمالية. فقد بدأ الهجوم في 4 يوليو/تموز 2009، وهو نفس يوم إطلاق كوريا الشمالية لصاروخ باليستي قصير المدى، كما وقع بعد أقل من شهر من صدور قرار مجلس الأمن الدولي رقم 1874 ، الذي فرض عقوبات اقتصادية وتجارية إضافية على كوريا الشمالية رداً على تجربة نووية تحت الأرض أجرتها في وقت سابق من ذلك العام.

حللت الشرطة الكورية الجنوبية عينة من آلاف أجهزة الكمبيوتر التي استخدمتها شبكة الروبوتات، مشيرةً إلى وجود "أدلة متنوعة" على تورط كوريا الشمالية أو "عناصر موالية لها"، لكنها أشارت إلى أنها قد لا تتمكن من العثور على الجاني. ^{[ 21 ] [ 18 ]} وحذر مسؤولون استخباراتيون في الحكومة الكورية الجنوبية المشرعين من أن "معهد أبحاث عسكرية كوري شمالي قد تلقى أوامر بتدمير شبكات الاتصالات في الجنوب". ^{[ 21 ]}

أشار جو ستيوارت، الباحث في وحدة مكافحة التهديدات التابعة لشركة سكيور وركس ، إلى أن البيانات التي أنشأها البرنامج المهاجم بدت وكأنها تستند إلى متصفح باللغة الكورية. ^{[ 5 ]}

شكك العديد من خبراء الأمن في الرواية التي تُشير إلى أن الهجوم انطلق من كوريا الشمالية. ويرى أحد المحللين أن الهجمات على الأرجح انطلقت من المملكة المتحدة، بينما يفترض محلل التكنولوجيا روب إندرل أن "الطلاب المفرطين في النشاط" قد يكونون السبب. ^{[ 4 ] [ 18 ]} وتكهن جو ستيوارت من شركة سكيور وركس بأن سلوك لفت الانتباه كان الدافع وراء الهجوم، مع أنه أشار إلى أن نطاق الهجوم كان "غير معتاد". ^{[ 6 ]}

في 30 أكتوبر/تشرين الأول 2009، أعلنت وكالة الاستخبارات الكورية الجنوبية، جهاز المخابرات الوطنية ، أن كوريا الشمالية هي منفذة الهجوم. ووفقًا لرئيس الجهاز، وون سي هون ، فقد توصلت الوكالة إلى صلة بين الهجمات وكوريا الشمالية عبر عنوان بروتوكول الإنترنت (IP) الذي يُزعم أن وزارة البريد والاتصالات الكورية الشمالية كانت تستخدمه مستأجرًا من الصين. ^{[ 22 ]}

• هجمات إلكترونية على إستونيا عام 2007
• الإرهاب الإلكتروني
• تمرين العاصفة السيبرانية
• متاهة ضوء القمر
• مطر التيتان
• هجوم حجب الخدمة