Kaspersky identifică o campanie cibernetică a grupării Lazarus bazată pe inteligenţă artificială şi criptare post-cuantică

Echipa Global Research and Analysis Team (GReAT) a companiei de securitate cibernetică Kaspersky a identificat campania de spionaj informatic denumită Operation FlashHole, atribuită grupării Lazarus APT, operaţiune activă cel puţin din iulie 2025, care a vizat trei organizaţii din Coreea de Sud din domeniile construcţiilor, dezvoltării de software şi producţiei de echipamente pentru comunicaţii prin cablu. Atacul reprezintă un nou val asociat operaţiunii anterioare SyncHole şi utilizează tehnici de spear-phishing, exploatarea aplicaţiei legitime CrossWeb EX şi componente malware nou create sau actualizate, relevă raportul tehnic publicat de companie.

Atacatorii au utilizat un canal de comandă şi control (C2) găzduit pe platforma GitHub Pages, creat în septembrie 2025, unde au publicat profilul profesional fals al unui presupus inginer de reţea, o momeală similară campaniei consacrate Operation DreamJob, arată documentul oficial transmis de Kaspersky. Pagina a integrat o fotografie de profil generată cu instrumente de inteligenţă artificială, tehnologie folosită de atacatori şi pentru adaptarea conţinutului site-urilor capcană la specificul fiecărei ţinte înainte de expedierea mesajelor de tip spear-phishing, menţionează cercetătorii în analiza publicată.

Accesarea paginilor frauduloase a declanşat procedura de infectare prin exploatarea unei potenţiale vulnerabilităţi din CrossWeb EX, modul de autentificare şi securitate utilizat pe scară largă în sistemul financiar din Coreea de Sud, semnalat anterior printr-un buletin oficial de securitate, se arată în comunicatul de presă. Analiza tehnică a permis reconstituirea lanţului de infectare şi a mecanismelor prin care atacatorii ascund componentele maliţioase pe staţiile de lucru compromise, confirmă specialiştii companiei.

Arsenalul tehnic a inclus două instrumente software nedocumentate anterior, denumite TouchHub şi ClientHub, create pentru instalarea de încărcături maliţioase suplimentare, executarea de comenzi de la distanţă şi transferul datelor de spionaj, una dintre variante utilizând serviciul cloud Dropbox drept canal de comunicaţie, precizează sursa citată. Concomitent, atacatorii au utilizat o versiune actualizată a modulului LPEClient, instrument care extrage detalii despre setările de securitate şi mecanismele de protecţie din sistemul Windows, comprimă şi criptează datele colectate şi le transmite serverelor externe, indică raportul de specialitate.

Noua variantă a LPEClient integrează algoritmul criptografic post-cuantic ML-KEM-1024, conceput pentru securizarea comunicaţiilor în faţa capacităţilor viitoarelor computere cuantice, mecanism utilizat pentru stabilirea conexiunilor securizate înainte de rularea directă în memorie a altor componente maliţioase, subliniază analiza Kaspersky. Pentru evitarea detecţiei, modulul modifică parametrii de protecţie ai memoriei şi dezactivează punctele de monitorizare software (hook-uri) prin care soluţiile de securitate semnalează comportamentele suspecte ale sistemului, conform datelor companiei.

„Gruparea Lazarus continuă să-şi extindă operaţiunile, lansează noi campanii şi introduce instrumente noi, dar le adaptează şi pe cele deja cunoscute la propriile nevoi. Analiza noastră asupra Operation FlashHole, împreună cu dovezile obţinute în investigaţiile anterioare, sugerează că gruparea integrează şi inteligenţa artificială în metodele sale consacrate, o schimbare pe care am observat-o şi în cazul altor actori de ameninţare afiliaţi Lazarus. Un aspect care merită o atenţie deosebită este adoptarea de către Lazarus a criptografiei concepute să reziste ameninţărilor cuantice viitoare. Constatările noastre indică faptul că aceasta era utilizată cel puţin din septembrie 2024, ceea ce arată că aceste capabilităţi protejau deja comunicaţiile malware-ului grupării cu mai bine de un an înainte de publicarea acestor informaţii”, a afirmat Sojun Ryu, cercetător senior în securitate în cadrul Kaspersky GReAT, potrivit comunicatului oficial de presă.

Măsurile tehnice recomandate de experţi pentru prevenirea acestor intruziuni vizează instruirea periodică a angajaţilor împotriva mesajelor de phishing cu adrese externe neaşteptate, aplicarea promptă a corecţiilor software (patch-uri), limitarea strictă a drepturilor de administrare pe calculatoare şi monitorizarea conexiunilor la serviciile cloud utilizate neautorizat drept canale C2, menţionează raportul detaliat publicat pe platforma Securelist.com.