Lazarus zloupotrebljava CrossWeb EX i postkvantnu enkripciju
Kaspersky je operaciju FlashHole pripisao grupi Lazarus povezanoj sa Severnom Korejom: kampanja je od najmanje jula 2025. pogodila najmanje tri organizacije u Južnoj Koreji iz građevinarstva, softvera i proizvodnje opreme za žične komunikacije. Napadači zloupotrebljavaju Initechovo rešenje INISAFE CrossWeb EX, a novije komponente malvera koriste ML-KEM-1024 za šifrovanu komunikaciju sa komandno-kontrolnim serverom.
Lažni sajtovi i zloupotreba obaveznog bezbednosnog softvera
FlashHole se nadovezuje na raniju operaciju SyncHole, u kojoj je Lazarus koristio ranjivost u iniLINE Cross EX za isporuku malvera. Cross EX i CrossWeb EX koriste se u Južnoj Koreji kao obavezni bezbednosni programi pri pristupu onlajn bankarstvu i državnim servisima.
Za FlashHole tačan početni vektor nije potvrđen, ali Kaspersky je pronašao tragove zlonamernih sajtova hostovanih na GitHub Pages. Jedan od njih predstavljao se kao biografija višeg programera mrežnih uređaja i sadržao je profilnu fotografiju za koju se sumnja da je generisana veštačkom inteligencijom. Pretpostavlja se da su žrtve dobijale ciljane phishing poruke sa vezama ka takvim stranicama.
Poseta sajtu pokreće niz koji koristi CrossWeb EX za pokretanje legitimnog Windows programa fsquirt.exe. Zatim se DLL sideloading tehnikom učitava zlonamerna biblioteka TechHub. Kaspersky navodi da početni lanac izvršavanja postoji samo u memoriji, što napadačima pomaže da prikriju početni prodor.
Modularni lanac za krađu podataka
TechHub preuzima TouchHub sa GitHub-a, a TouchHub dalje pokreće TOUCHSHIFT, odnosno zlonamernu biblioteku mscoree.dll. Ona obezbeđuje postojanost i pokreće novu instancu TechHub-a u memoriji. Sledeće komponente, ClientHub i LPEClient, služe za preuzimanje i učitavanje daljih modula.
LPEClient predstavlja posrednika ka komponenti Cubridge. Cubridge može da komunicira sa C2 serverom, preuzima dodatke i DLL alate, prikuplja sistemske podatke, izvršava komande i krade fajlove i podatke iz veb pregledača. ClientHub postoji u varijanti koja koristi HTTPS i u varijanti koja komunicira preko Dropbox API-ja.
Dodaci mogu da prave ZIP arhive, traže fajlove po obrascu, brišu određene fajlove i prate promene na lokalnim diskovima. TOUCHSHIFT može da isporuči keylogger, alat za snimanje ekrana i backdoor, što pokazuje da je lanac zamišljen za proširivanje mogućnosti nakon početne infekcije.
Zašto je ML-KEM-1024 važan signal
Najnovija verzija malvera koristi ML-KEM-1024, postkvantni kriptografski algoritam, pre nego što dodatni malver preuzme i pokrene direktno u memoriji. Kaspersky je upotrebu takve kriptografije u komunikaciji Lazarusovog malvera pratio najmanje od septembra 2024, više od godinu dana pre objavljivanja nalaza.
Kaspersky FlashHole svrstava u širu kampanju Cascade Hole, u kojoj se južnokorejski softver koristi kao moguća ulazna tačka. U zasebnom talasu zabeležene su i infekcije backdoorom COPPERHEDGE, a u najmanje jednom slučaju podaci su izneti na sajt za curenje podataka ULOSE.
Za poslovanje je praktična pouka da obavezni bezbednosni klijenti, alati za elektronski potpis i dodaci za prenos fajlova moraju biti deo istog režima ažuriranja, provere integriteta i nadzora krajnjih uređaja kao i ostali softver sa visokim privilegijama.