Кодик кратко объясняет суть статьи
Северокорейская хакерская группа Lazarus запустила шпионскую операцию Operation FlashHole, используя искусственный интеллект и постквантовую криптографию. Кампания началась в июле 2025 года и затронула три южнокорейские организации. Атаки начинались с персонализированных фишинг-писем, ведущих на фальшивые сайты с резюме и портфолио, включая фейковые профили разработчиков. Для заражения использовался легитимный инструмент CrossWeb EX, применяемый для финансовой аутентификации. Были обнаружены новые инструменты TouchHub и ClientHub, устанавливающие вредоносное ПО и поддерживающие связь с командным центром через Dropbox. Новый загрузчик LPEClient собирает данные о системе, шифрует их и использует постквантовый алгоритм ML-KEM-1024 для безопасного подключения к серверам злоумышленников. Эта техника позволяет подгружать и исполнять вредоносные модули непосредственно в оперативной памяти, минуя запись на диск.
Читайте в Telegram
|
Северокорейская группировка Lazarus провела новую шпионскую кампанию с ИИ и постквантовой криптографией. Об этом рассказала «Лаборатория Касперского».
Кампания получила название Operation FlashHole. По данным исследователей Kaspersky GReAT, она идёт как минимум с июля 2025 года и затронула не менее трёх организаций в Южной Корее: строительную компанию, разработчика ПО и производителя оборудования для проводной связи. Результаты представили на конференции Security Analyst Summit 2026.
Атака начиналась с фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, подогнанные под конкретного получателя. Один такой сайт нашли на GitHub Pages: на нём лежало резюме якобы опытного разработчика сетевого оборудования, а фото «соискателя» было сгенерировано нейросетью. Связанный с ним аккаунт GitHub, созданный в сентябре 2025 года, хакеры заодно использовали как канал управления. Исследователи предполагают, что ИИ помогал и подгонять сайты под цели.
Посещение сайта, по оценке экспертов, с высокой вероятностью запускало заражение через CrossWeb EX. Это легитимная программа для защиты финансовых операций, без которой в Южной Корее не пройти веб-аутентификацию на сайтах большинства банков и госучреждений. Предположительно, злоумышленники воспользовались уязвимостью в ней.
В атаках нашли два ранее не описанных инструмента, TouchHub и ClientHub. Они устанавливают дополнительное вредоносное ПО, выполняют команды на заражённых устройствах и поддерживают связь с атакующими, одна из версий для этого использует Dropbox. Обновлённый загрузчик LPEClient собирает сведения о системе и установленных средствах защиты, сжимает и шифрует их перед отправкой, а также пытается обходить мониторинг антивирусов.
Для соединения с сервером атакующих LPEClient применяет ML-KEM-1024. Это постквантовый алгоритм обмена ключами, рассчитанный на защиту от взлома будущими квантовыми компьютерами. После установки защищённого канала программа загружает и запускает другие вредоносные модули прямо в памяти, не записывая их на диск. По данным компании, такую криптографию группировка использует как минимум с сентября 2024 года.
«Группировка также начинает интегрировать искусственный интеллект в свои давно сложившиеся тактики», — отметил старший исследователь Kaspersky GReAT Соджун Рю.
