Что обнаружили исследователи

Эксперты «Лаборатории Касперского» (Kaspersky GReAT) раскрыли новую волну целевых атак группировки Lazarus — кампанию Operation FlashHole. Атаки идут как минимум с июля 2025 года. Пострадали не менее трёх южнокорейских организаций из строительной сферы, разработки ПО и производства оборудования для проводной связи. Цель атакующих — кибершпионаж.

Как разворачивалась атака

  • Атака начиналась с целевых фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, подстроенными под конкретного получателя.
  • Один такой сайт был размещён на GitHub Pages и связан с аккаунтом, созданным в сентябре 2025 года — он служил каналом управления.
  • Сайт изображал опытного разработчика сетевого оборудования, а фотография «соискателя» была сгенерирована нейросетью.
  • Похожий приём Lazarus уже использовала в известной кампании Operation DreamJob — приманки под видом вакансий остаются одним из фирменных методов группировки.
  • Посещение поддельного сайта с высокой вероятностью запускало заражение через уязвимость в CrossWeb EX — легитимном ПО для веб-аутентификации, широко применяемом в Южной Корее в банках и госучреждениях.

Инструментарий атакующих

В ходе расследования специалисты выявили несколько компонентов вредоносного арсенала:

  • TouchHub и ClientHub — два ранее не описанных инструмента. Они устанавливают дополнительное вредоносное ПО, выполняют команды на заражённых устройствах и поддерживают связь с атакующими; одна из модификаций использует для этого облачный сервис Dropbox.
  • LPEClient — давно известный инструмент Lazarus, теперь обновлённый. Он собирает данные об установленных средствах защиты и настройках Windows, шифрует их и отправляет на сервер атакующих, а также доставляет дополнительный вредонос и пытается скрыться от защитных решений.

Зачем хакерам постквантовое шифрование

Обновлённая версия LPEClient использует криптографический алгоритм ML-KEM-1024 — один из стандартов постквантовой криптографии. Такие алгоритмы разрабатываются для защиты данных от будущих квантовых компьютеров, которые теоретически смогут взламывать классические шифры. В данном случае ML-KEM-1024 используется не для защиты жертв, а для того, чтобы установить зашифрованный канал связи вредоноса с управляющим сервером и подгружать дополнительные модули прямо в память устройства, усложняя обнаружение. По данным Kaspersky GReAT, эта техника применялась группировкой как минимум с сентября 2024 года — то есть больше года до публикации результатов исследования.

Кто такая Lazarus и почему это важно

Lazarus — одна из самых известных и долгоживущих APT-группировок, также фигурирующая под именами APT38, BlueNorOff, Andariel и Hidden Cobra. На протяжении многих лет она атакует финансовые организации, оборонные и технологические предприятия по всему миру, постоянно обновляя инструментарий и тактики. Появление в её арсенале элементов искусственного интеллекта — для генерации фейковых персон и, предположительно, адаптации фишинговых сайтов под конкретные цели — отражает более широкий тренд: ИИ становится рабочим инструментом не только для защитников, но и для атакующих, что заставляет индустрию кибербезопасности пересматривать подходы к детектированию социальной инженерии.

Рекомендации по защите

  • Обучать сотрудников распознаванию целевого фишинга и не переходить по ссылкам из подозрительных писем сразу.
  • Сообщать о подозрительных рассылках в службу безопасности.
  • Своевременно обновлять ПО и отключать неиспользуемые компоненты.
  • Ограничивать права пользователей и отслеживать подключения к облачным сервисам.
  • Использовать комплексные решения кибербезопасности и сервисы управляемого обнаружения угроз.

Итог: Операция FlashHole показывает, что Lazarus продолжает эволюционировать — от классических фишинговых приманок до связки ИИ-генерации контента и постквантовой криптографии для сокрытия канала управления. Для бизнеса и госсектора это очередное напоминание о необходимости многоуровневой защиты и регулярного обучения сотрудников, а для отрасли кибербезопасности — сигнал ускорить адаптацию средств детектирования к атакам, использующим ИИ.

Читайте также:

«Лаборатория Касперского» входит в число вендоров, решения которых распространяет МОНТ — по продуктам для защиты от целевых атак и комплексного мониторинга угроз можно организовать демонстрацию или консультацию.