Echipa Global Research and Analysis Team (GReAT) din cadrul companiei Kaspersky a identificat o nouă campanie de spionaj informatic, denumită Operation FlashHole. Această operațiune, atribuită grupării Lazarus APT, este activă cel puțin din iulie 2025 și a vizat trei organizații din Coreea de Sud. Victimele aparțin domeniilor construcțiilor, dezvoltării de software și producției de echipamente pentru comunicații prin cablu, reprezentând un nou val de atacuri după operațiunea SyncHole.
Atacatorii au utilizat tehnici de spear-phishing și au exploatat aplicația CrossWeb EX pentru a compromite sistemele țintelor. Pentru a crea momeală, aceștia au publicat pe GitHub Pages un profil profesional fals al unui inginer de rețea, utilizând o fotografie generată prin inteligență artificială. Această tehnologie a fost folosită și pentru a adapta conținutul site-urilor capcană la specificul fiecărei ținte înainte de trimiterea mesajelor de tip phishing.
Analiza tehnică a scos la iveală utilizarea unor instrumente software noi, denumite TouchHub și ClientHub, create pentru instalarea de încărcături malițioase și transferul de date. Una dintre variantele de atac a folosit serviciul cloud Dropbox ca canal de comunicație. În plus, atacatorii au utilizat o versiune actualizată a modulului LPEClient, care extrage detalii despre setările de securitate din sistemul Windows, comprimă datele și le transmite către servere externe.
Un aspect critic identificat de experți este integrarea algoritmului criptografic post-cuantic ML-KEM-1024 în modulul LPEClient. Acest mecanism este conceput pentru a securiza comunicațiile în fața capacităților viitoare ale computerelor cuantice. Sojun Ryu, cercetător senior în securitate la Kaspersky GReAT, a observat că această tehnologie era utilizată cel puțin din septembrie 2024, protejând comunicațiile malware-ului cu mult timp înainte de publicarea acestor informații.
Pentru a evita detecția, atacatorii au modificat parametrii de protecție ai memoriei și au dezactivat punctele de monitorizare software prin care soluțiile de securitate semnalează comportamentele suspecte. Raportul recomandă instruirea angajaților împotriva mesajelor de phishing, aplicarea promptă a patch-urilor software și limitarea drepturilor de administrare pe calculatoare. De asemenea, este necesară monitorizarea strictă a conexiunilor către serviciile cloud utilizate neautorizat ca canale de comandă.
Evoluția amenințărilor cibernetice reflectă o cursă tehnologică între atacatori și experții în securitate. Utilizarea instrumentelor avansate, precum inteligența artificială pentru mimetism sau criptografia post-cuantică pentru protejarea canalelor de comunicare, indică o profesionalizare sporită a grupărilor de tip APT. Această schimbare de paradigmă obligă organizațiile să își actualizeze constant protocoalele de apărare pentru a contracara metodele de spionaj tot mai sofisticate.