Echipa Global Research and Analysis Team (GReAT) a Kaspersky a identificat Operation FlashHole, o campanie de spionaj cibernetic atribuită grupării Lazarus APT, care combină tehnici de spear-phishing, exploatarea software-ului legitim CrossWeb EX și instrumente malware noi sau actualizate. Activă cel puțin din iulie 2025, campania a vizat cel puțin trei organizații din Coreea de Sud, din sectoarele construcțiilor, software și producției de echipamente pentru comunicații prin cablu.
Kaspersky GReAT a descoperit un nou val de atacuri asociate cu Operation SyncHole, identificată pentru prima dată anul trecut. De atunci, atacatorii și-au îmbunătățit instrumentele și tehnicile, făcând campania mai persistentă și mai sofisticată.
În cadrul investigației, cercetătorii au descoperit un site găzduit prin GitHub Pages, asociat unui cont GitHub utilizat drept canal de comandă și control (C2). Creat în septembrie 2025, contul găzduia inițial un site care prezenta CV-ul unui presupus dezvoltator senior de echipamente de rețea – o momeală similară celor utilizate în Operation DreamJob, campania consacrată a grupării Lazarus, bazată pe oferte de angajare. Pagina includea o fotografie generată cu ajutorul inteligenței artificiale (AI), prezentată ca fiind a unui candidat la un loc de muncă. Cercetătorii Kaspersky consideră că atacatorii au utilizat AI și pentru a adapta site-urile frauduloase la țintele vizate. Campania a început cu e-mailuri de spear-phishing care conțineau link-uri către site-uri false de portofoliu profesional și CV-uri, personalizate pentru fiecare țintă.
Rezultatele cercetării indică o probabilitate ridicată ca accesarea site-ului malițios să fi declanșat un proces de infectare care implica software-ul CrossWeb EX, un modul de securitate și autentificare web utilizat pe scară largă în Coreea de Sud. Activitatea malițioasă ar fi putut fi posibilă datorită unei potențiale vulnerabilități în software-ul CrossWeb EX, care le-ar fi oferit atacatorilor un punct inițial de acces. Este de remarcat faptul că anterior fusese publicat un buletin de securitate care confirma existența unei vulnerabilități în software-ul de securitate financiară. Printr-o analiză aprofundată, cercetătorii au identificat mai multe componente malițioase și au reconstituit lanțul de infectare, dezvăluind un mecanism sofisticat de livrare a malware-ului și tehnici avansate de ascundere a activităților malițioase pe sistemele vizate.
Atacatorii au combinat versiuni actualizate ale unor programe malware deja utilizate cu două instrumente care nu fuseseră documentate anterior – TouchHub și ClientHub. Aceste componente instalează malware suplimentar, execută comenzi pe calculatoarele infectate și comunică cu atacatorii, având ca obiectiv final spionajul cibernetic. Una dintre noile familii de instrumente include o variantă care utilizează Dropbox pentru a comunica cu operatorii săi.
Campania folosește și o versiune actualizată a LPEClient, un instrument utilizat de mult timp de gruparea Lazarus, care colectează informații despre calculatoarele infectate și livrează malware suplimentar. Noua versiune colectează detalii despre software-ul de securitate instalat, mecanismele de protecție ale Windows și alte caracteristici ale sistemului, apoi comprimă și criptează informațiile înainte de a le transmite atacatorilor.
Versiunea actualizată a LPEClient utilizează și ML-KEM-1024, un mecanism criptografic post-cuantic conceput pentru a proteja comunicațiile împotriva unor potențiale atacuri realizate cu viitoare calculatoare cuantice. Acesta este folosit pentru a stabili o conexiune criptată cu serverul atacatorilor înainte de descărcarea și executarea direct în memorie a unor componente malware suplimentare. Pentru a evita detectarea, instrumentul încearcă, de asemenea, să ocolească mecanismele de monitorizare a securității prin modificarea protecțiilor memoriei și dezactivarea unui mecanism de monitorizare (hook) pe care instrumentele de securitate îl folosesc pentru a identifica activitățile suspecte ale sistemului.
„Gruparea Lazarus continuă să-și extindă operațiunile, lansând noi campanii și introducând instrumente noi, dar și adaptându-le pe cele deja cunoscute la propriile nevoi. Analiza noastră asupra Operation FlashHole, împreună cu dovezile obținute în investigațiile anterioare, sugerează că gruparea integrează și inteligența artificială în metodele sale consacrate, o schimbare pe care am observat-o și în cazul altor actori de amenințare afiliați Lazarus. Un aspect care merită o atenție deosebită este adoptarea de către Lazarus a criptografiei concepute să reziste amenințărilor cuantice viitoare. Constatările noastre indică faptul că aceasta era utilizată cel puțin din septembrie 2024, ceea ce arată că aceste capabilități protejau deja comunicațiile malware-ului grupării cu mai bine de un an înainte de publicarea acestor informații”, afirmă Sojun Ryu, cercetător senior în securitate în cadrul Kaspersky GReAT.
Pentru a se proteja împotriva atacurilor grupării Lazarus și a campaniilor precum Operation FlashHole, organizațiile sunt sfătuite să adopte următoarele bune practici:
- Instruiți angajații să recunoască tentativele de phishing targetat. Verificați e-mailurile și linku-rile neașteptate, chiar și atunci când acestea duc către site-uri profesionale convingătoare, și raportați mesajele suspecte echipei de securitate.
- Mențineți software-ul actualizat și aplicați prompt patch-urile de securitate. Evaluați periodic vulnerabilitățile aplicațiilor esențiale pentru activitatea companiei și dezactivați componentele inutile pentru a reduce riscul exploatării acestora.
- Limitați privilegiile utilizatorilor și monitorizați conexiunile la serviciile cloud care ar putea fi abuzate pentru stabilirea canalelor de comandă și control.
- Protejați compania împotriva unei game largi de amenințări, inclusiv a instrumentelor utilizate în Operation FlashHole, cu soluții din gama Kaspersky Next. Acestea oferă protecție în timp real, vizibilitate asupra amenințărilor, capabilități de investigare și funcții de răspuns specifice soluțiilor EDR și XDR, pentru organizații de orice dimensiune și din orice sector. În funcție de nevoile actuale și de resursele disponibile, puteți alege nivelul de produs cel mai potrivit și puteți trece cu ușurință la o altă variantă dacă cerințele de securitate cibernetică se schimbă.
- Adoptați servicii de securitate gestionate de Kaspersky, precum Compromise Assessment, Managed Detection and Response (MDR) și/sau Incident Response, care acoperă întregul ciclu de gestionare a incidentelor – de la identificarea amenințărilor până la protecția continuă și remedierea problemelor. Aceste servicii contribuie la protecția împotriva atacurilor cibernetice evazive, la investigarea incidentelor și la furnizarea de expertiză suplimentară, inclusiv pentru companiile care nu dispun de suficienți specialiști în securitate cibernetică.
- Oferiți specialiștilor în securitatea informațiilor (InfoSec) vizibilitate aprofundată asupra amenințărilor cibernetice care vizează organizația. Kaspersky Threat Intelligence furnizează informații detaliate și relevante pe parcursul întregului ciclu de gestionare a incidentelor, ajutând la identificarea la timp a riscurilor cibernetice.
