Operation FlashHole
A Kaspersky kutatása szerint az észak-koreai kötődésű Lazarus csoport új, Operation FlashHole nevű kiberkémkedési kampányt indított dél-koreai szervezetek ellen. A kutatók legalább három érintett vállalatot azonosítottak a szoftveriparban, az építőiparban és a vezetékes kommunikációs berendezések gyártásában. A művelet előkészítésének első nyomai 2025 júliusára vezethetők vissza.
A támadók célzott adathalász e-mailekkel, hamis önéletrajz- és portfólióoldalakkal csalogatták a felhasználókat fertőzött webhelyekre. A csalik között feltehetően AI-val készített profilkép is szerepelt. A támadási lánc a Dél-Koreában széles körben használt INISAFE CrossWeb EX pénzügyi biztonsági szoftvert használta ki, bár a pontos kezdeti kihasználási módszert nem sikerült rekonstruálni.
A fertőzés során a Lazarus több egymásra épülő kártevőt alkalmazott, TechHub, TouchShift, Cubridge, LPEClient, valamint két újonnan azonosított komponenst, TouchHub és ClientHub néven. A modulok DLL-sideloadinggal, legitim Windows-folyamatok felhasználásával és memóriában történő kódfuttatással rejtőztek el.
A TechHub privát GitHub-tárolókat használt vezérlőcsatornaként, míg a ClientHub egyes változatai Dropboxon keresztül kommunikáltak. A Cubridge moduláris keretrendszere rendszerfelderítést, böngészőadatok és hitelesítő adatok gyűjtését, valamint további eszközök betöltését támogatta.
Különösen figyelemre méltó az LPEClient továbbfejlesztése, a malware ML-KEM-1024 posztkvantum kulcsmegállapodást, valamint GOST- és Threefish-alapú titkosítást is alkalmazott a kommunikáció és a további payloadok védelmére.
A Kaspersky szerint a FlashHole elsősorban hírszerzési célú művelet, amely a korábbi Operation SyncHole technikáit fejleszti tovább. A kutatás egyúttal rámutat arra, hogy a kötelezően telepített, magas jogosultságokkal működő biztonsági szoftverek maguk is súlyos támadási felületet jelenthetnek.
