Lazarus задействовала постквантовое шифрование в атаках на Южную Корею
«Лаборатория Касперского» связала северокорейскую группировку Lazarus с кампанией Operation FlashHole, нацеленной как минимум на три организации Южной Кореи из строительной отрасли, разработки ПО и производства оборудования проводной связи. Активность фиксируется не позднее июля 2025 года, а для защищённого обмена с управляющим сервером новая версия вредоносного инструментария использует постквантовый алгоритм ML-KEM-1024.
Кампания продолжает Operation SyncHole, которую Kaspersky описала в апреле 2025 года. В прежней волне атакующие эксплуатировали уязвимость в iniLINE Cross EX, а в FlashHole злоупотребляют INISAFE CrossWeb EX компании Initech — решением для аутентификации по сертификатам и электронной подписи, применяемым при доступе к онлайн-банкингу и государственным порталам Южной Кореи.
Поддельные страницы и выполнение в памяти
Точный способ первоначального проникновения в Operation FlashHole не установлен. Однако исследователи обнаружили вредоносные сайты на GitHub Pages: один из них выдавал себя за резюме старшего разработчика сетевого оборудования и содержал фотографию профиля, предположительно созданную ИИ. Вероятно, ссылки на такие страницы рассылались в целевых фишинговых письмах.
После перехода по ссылке цепочка задействует CrossWeb EX для запуска штатного компонента Windows fsquirt.exe. Далее через DLL sideloading запускается вредоносная библиотека TechHub. Kaspersky отмечает, что на начальной стадии последовательность выполнения существует только в памяти, что усложняет обнаружение компрометации.
Модульная платформа для сбора данных
TechHub загружает с GitHub компонент TouchHub, который с помощью второго случая DLL sideloading запускает библиотеку TOUCHSHIFT под именем mscoree.dll. Она закрепляется в системе и инициирует выполнение ещё одного экземпляра TechHub в памяти. Затем загружается ClientHub, через который в память попадает LPEClient.
LPEClient служит каналом для Cubridge — компонента управления, способного получать плагины, DLL-утилиты и дополнительные модули. По данным Kaspersky, Cubridge собирает сведения о системе, выполняет команды, похищает файлы и данные веб-браузеров. Его плагины могут создавать ZIP-архивы, искать и удалять файлы, а также отслеживать изменения локальных дисков.
ClientHub представлен двумя вариантами: один связывается с сервером злоумышленников по HTTPS, другой использует Dropbox API. TouchShift может доставлять кейлоггеры, средства создания снимков экрана и бэкдоры. LPEClient применяется Lazarus как инструмент профилирования жертв и доставки полезной нагрузки с 2019 года.
Почему важна криптография ML-KEM-1024
Новая версия вредоносного ПО устанавливает зашифрованное соединение с сервером атакующих через ML-KEM-1024, а затем скачивает и запускает дополнительные компоненты напрямую в памяти. Исследователи проследили использование этой криптографии Lazarus как минимум с сентября 2024 года — более чем за год до публикации анализа FlashHole.
Kaspersky относит Operation FlashHole к более широкой кампании Cascade Hole, где южнокорейское специализированное ПО используется как возможная точка входа. Одновременно наблюдалась новая волна атак с бэкдором COPPERHEDGE; как минимум в одном случае заражение привело к утечке данных на даркнет-сайт ULOSE.
Для бизнеса практический вывод состоит в необходимости отдельно учитывать риски обязательных локальных клиентских программ: своевременно обновлять их, контролировать переходы по ссылкам из целевых писем и отслеживать аномальный запуск штатных процессов Windows с загрузкой библиотек. Такие меры важны, поскольку цепочка FlashHole сочетает доверенные компоненты, выполнение в памяти и модульную доставку вредоносных инструментов.