Lazarus использует ИИ и постквантовую криптографию в новой кампании кибершпионажа

Кампания Operation FlashHole затронула три организации в Южной Корее

Группировка Lazarus проводит новую волну целевых кибератак в рамках кампании Operation FlashHole. Кампания активна с июля 2025 года. Она затронула как минимум три организации в Южной Корее. Целевыми сферами стали строительство, разработка программного обеспечения и производство оборудования для проводной связи. Атаки используют целевой фишинг и легитимное ПО CrossWeb EX. Злоумышленники применяют новые и обновлённые вредоносные инструменты. Исследователи выявили признаки использования искусственного интеллекта и постквантовой криптографии. Цель кампании — кибершпионаж. Данные представили на конференции Security Analyst Summit 2026.

Атака начинается с фишинга и поддельных резюме

Атака стартует с рассылки целевых фишинговых писем. Письма содержат ссылки на поддельные сайты с резюме и портфолио. Сайты адаптированы под конкретных получателей. Один из таких ресурсов размещён на GitHub Pages. Он связан с аккаунтом GitHub, который злоумышленники использовали как канал управления. Аккаунт создан в сентябре 2025 года. На сайте размещалось резюме опытного разработчика сетевого оборудования. Фотография «соискателя» сгенерирована искусственным интеллектом. Lazarus уже использовала подобные приманки в кампании Operation DreamJob. Предполагается, что ИИ применяли для адаптации поддельных сайтов под цели атаки.

CrossWeb EX используется для первоначального проникновения

Посещение поддельных сайтов запускает заражение с помощью CrossWeb EX. Это легитимное ПО для безопасности финансовых операций, распространённое в Южной Корее. Оно необходимо для веб-аутентификации на сайтах банков и госучреждений. Предположительно, злоумышленники использовали уязвимость в CrossWeb EX для первоначального проникновения. Ранее появилась информация о наличии уязвимости в этом ПО. Эксперты «Лаборатории Касперского» обнаружили несколько вредоносных компонентов. Они реконструировали цепочку заражения. Выявлена сложная система доставки вредоносного ПО и продвинутые методы сокрытия активности.

Lazarus обновила инструментарий и добавила новые компоненты

В кампании Lazarus использовала обновлённые версии известных инструментов и два новых компонента: TouchHub и ClientHub. Эти компоненты позволяют устанавливать дополнительное вредоносное ПО. Они выполняют команды на заражённых устройствах и поддерживают связь со злоумышленниками. Модификация одного из новых инструментов использует Dropbox для связи. Также применялась обновлённая версия LPEClient. Этот инструмент Lazarus использует давно. Он собирает информацию о заражённых устройствах и доставляет вредоносное ПО. Новая версия собирает сведения об установленном ПО безопасности и других характеристиках системы. Информация сжимается, шифруется и отправляется злоумышленникам.

Обновлённый LPEClient использует постквантовую криптографию

Обновлённая версия LPEClient применяет ML-KEM-1024. Это постквантовый криптографический механизм. Он предназначен для защиты коммуникаций от атак с использованием квантовых компьютеров. С его помощью вредоносное ПО устанавливает зашифрованное соединение с сервером атакующих. Затем загружает и запускает дополнительное вредоносное ПО в памяти. LPEClient пытается обойти механизмы мониторинга для избежания обнаружения. Соджун Рю, старший исследователь Kaspersky GReAT, отметил, что Lazarus интегрирует ИИ в свои тактики. Группировка использует криптографию для защиты от будущих квантовых угроз. Эти механизмы применялись как минимум с сентября 2024 года.

Обучайте сотрудников и регулярно обновляйте ПО

Для защиты от целевых атак Lazarus «Лаборатория Касперского» рекомендует обучать сотрудников распознавать фишинг. Сотрудники должны с осторожностью относиться ко всем письмам и не переходить сразу по ссылкам. Необходимо сообщать о подозрительных рассылках. Для этого можно использовать Kaspersky Automated Security Awareness Platform. Регулярно обновляйте ПО на всех устройствах и отключайте ненужные компоненты. Ограничивайте права пользователей и отслеживайте подключения к облачным сервисам. Используйте комплексное решение для кибербезопасности, например из линейки Kaspersky Symphony. Применяйте решения для управляемой защиты, такие как Kaspersky Compromise Assessment, Kaspersky Managed Detection and Response или Kaspersky Incident Response.