Выявленв кампания Lazarus Operation FlashHole с применением ИИ и постквантового шифрования

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новую волну целевых кибератак группировки Lazarus в рамках кампании Operation FlashHole. Кампания активна как минимум с июля 2025 года и затронула не менее трёх организаций в Южной Корее — в сферах строительства, разработки программного обеспечения и производства оборудования для проводной связи. Цель атак — кибершпионаж. Данные представлены в рамках конференции Security Analyst Summit 2026. Об этом SecPost рассказали в компании.

Атака начиналась с рассылки целевых фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, адаптированные под конкретных получателей. Один из таких ресурсов, по данным исследователей, был размещён на GitHub Pages и связан с аккаунтом GitHub, использовавшимся в качестве канала управления. Аккаунт создан в сентябре 2025 года. Изначально на сайте размещалось резюме якобы опытного разработчика сетевого оборудования, а фотография «соискателя» была сгенерирована искусственным интеллектом. Исследователи предполагают, что злоумышленники также применяли ИИ для адаптации поддельных сайтов под конкретные цели.

Посещение таких сайтов с высокой долей вероятности запускало процесс заражения с участием CrossWeb EX — легитимного ПО для безопасности финансовых операций, широко используемого в Южной Корее для веб-аутентификации на сайтах банков и госучереждений. Предположительно, злоумышленники могли использовать уязвимость в CrossWeb EX для первоначального проникновения в систему. Ранее была опубликована информация, подтверждающая наличие уязвимости в этом ПО. В ходе анализа эксперты обнаружили несколько вредоносных компонентов, реконструировали цепочку заражения, выявили сложную систему доставки вредоносного ПО и продвинутые методы сокрытия вредоносной активности.

В кампании использовались как обновлённые версии ранее известных инструментов, так и два новых, прежде не описанных компонента — TouchHub и ClientHub. Они позволяют устанавливать дополнительное вредоносное ПО, выполнять команды на заражённых устройствах и поддерживать связь со злоумышленниками. Модификация одного из новых инструментов использует Dropbox для связи со злоумышленниками. Обновлённая версия LPEClient собирает сведения об установленном ПО безопасности, средствах защиты Windows и других характеристиках системы, сжимает и шифрует информацию, а затем отправляет злоумышленникам.

Помимо этого, обновлённая версия LPEClient использует ML-KEM-1024 — постквантовый криптографический механизм, предназначенный для защиты коммуникаций от потенциальных атак с использованием квантовых компьютеров. С его помощью вредоносное ПО устанавливает зашифрованное соединение с сервером атакующих, после чего загружает и запускает дополнительное вредоносное ПО непосредственно в памяти. Чтобы избежать обнаружения, LPEClient также пытается обойти механизмы мониторинга, которые защитные решения используют для выявления подозрительной активности в системе. Как отмечают в компании, такие механизмы применялись как минимум с сентября 2024 года — более чем за год до публикации этих результатов.