Gruparea de hackeri Lazarus a lansat o campanie de spionaj cibernetic cu tehnologii avansate
Un nou val de operațiuni ale grupării Lazarus a fost identificat, fiind asociat cu o campanie de spionaj cibernetic denumită Operation FlashHole. Aceasta utilizează inteligența artificială, malware actualizat și tehnologii de criptare concepute să reziste atacurilor realizate cu computere cuantice. Campania, activă cel puțin din iulie 2025, vizează organizații din Coreea de Sud, în sectoare precum construcțiile, software și producția de echipamente pentru comunicații prin cablu.
Atacuri complexe și metode avansate de infectare
Acțiunea vizează cel puțin trei organizații și implică utilizarea unor site-uri false de prezentare profesională. Cercetătorii de la Kaspersky, prin echipa GReAT, au descoperit că atacatorii au îmbunătățit instrumentele folosite anterior și au introdus componente malware noi, capabile să colecteze informații despre sistemele infectate și să comunice cu operatorii lor.
Un exemplu de tehnică folosită implică un site găzduit pe GitHub Pages, asociat unui cont creat în septembrie 2025. Pe pagina inițială, atacatorii au prezentat un CV fictiv al unui dezvoltator senior de echipamente de rețea. În cadrul campaniei, tacticile de spear-phishing au fost utilizate pentru a trimite e-mailuri țintite, conținând linkuri către site-uri false și CV-uri personalizate, ce aparțineau unui profil profesional inventat.
Utilizarea inteligenței artificiale pentru personalizarea și creșterea credibilității
Cercetătorii au remarcat folosirea unei fotografii generate cu AI, atribuită unui candidat la un loc de muncă, pentru a face site-urile false mai credibile. Kaspersky consideră că atacatorii au utilizat AI și pentru adaptarea conținutului site-urilor frauduloase în funcție de profilul organizației vizate. Astfel, tentativelor de phishing li s-a dat o aparentă conexiune cu activitatea specifică a victimelor, sporind șansele de reușită.
Personalizarea mesajelor și a paginilor a avut ca scop creșterea convingerii victimelor că e vorba despre oportunități reale sau relevante pentru domeniul lor profesional. Această metodă de atac amintește de campania Operation DreamJob, în care se folosesc oferte false de angajare pentru a compromite sistemele informatice.
Posibilă vulnerabilitate în software-ul CrossWeb EX
Analiza atacurilor indică o posibilă exploatare a unei vulnerabilități în software-ul de securitate și autentificare web CrossWeb EX, utilizat pe scară largă în Coreea de Sud. Accesarea unui site malițios poate fi urmată de infectarea sistemului, dacă vulnerabilitatea nu a fost corectată.
Deși un buletin de securitate din trecut confirmă existența unei vulnerabilități în software-ul de securitate financiară, cercetătorii nu afirmă că toate sistemele vizate au fost compromise prin aceeași metodă. În analiza malware-ului, au fost identificate componente care pot instala alte programe malițioase, precum TouchHub și ClientHub, definite ca fiind noi și nedocumentate anterior.
Aceste instrumente pot amplifica infectarea, pot executa comenzi și pot menține comunicația cu serverele atacatorilor, uneori folosing servicii legitime precum Dropbox pentru a ascunde traficul malițios.
Criptare post-cuantică și tehnologii avansate de protecție
Un element distinct al campaniei este utilizarea unei versiuni actualizate a LPEClient, un instrument folosit de Lazarus de mult timp pentru colectarea informațiilor și descărcarea de malware adițional. În variantă nouă, acesta verifică dacă sistemul infectat are active anumite mecanisme de protecție Windows și software de securitate.
Informațiile colectate sunt comprimate și criptate înainte de a fi transmise către operatorii campaniei, folosind mecanismul ML-KEM-1024, o tehnologie criptografică concepută pentru a fi rezistentă în fața atacurilor realizate cu computere cuantice. Aceasta permite stabilirea unei conexiuni criptate înainte ca alte componente malware să fie activate.
Cercetătorii afirmă că Lazarus ar fi adoptat această criptografie post-cuantică cel puțin din septembrie 2024, adică cu mai bine de un an înainte ca informațiile despre această tehnologie să fie făcute publice. Instrumentul încearcă să evite detectarea prin modificarea protecțiilor memoriei și dezactivarea mecanismelor de monitorizare, precum hook-urile folosite de soluțiile de securitate.
Un expert în securitate al Kaspersky a subliniat că această abordare demonstrează o adaptare rapidă a grupării Lazarus la cele mai recente progrese în domeniul criptografiei și al amenințărilor cibernetice.
