Lazarus злоупотребява с южнокорейски софтуер за сигурност, за да разпространява зловреден софтуер с постквантово криптиране

Свързваната със Северна Корея Lazarus Group е посочена като отговорна за кибершпионска кампания, наречена Operation FlashHole, насочена срещу поне три организации в Южна Корея в секторите на строителството, софтуера и производството на оборудване за кабелни комуникации.

Според руската компания за киберсигурност Kaspersky кампанията е активна поне от юли 2025 г. Смята се, че тя продължава оттам, където приключи Operation SyncHole.

„Групата подбираше целите си по-селективно, изпращайки целеви фишинг (spear-phishing) имейли с връзки към фалшиви, но релевантни сайтове, като например страници с портфолио и автобиографии, съобразени с всяка мишена“, посочва Соджун Рю, старши изследовател по сигурността в Kaspersky GReAT, в изчерпателен анализ.

Operation SyncHole беше документирана за първи път от Kaspersky през април 2025 г., разкривайки детайли за това как подкрепяният от държавата противник взима на прицел южнокорейския софтуерен, IT, финансов, полупроводников сектор и телекомуникационната индустрия от ноември 2024 г. насам, за да разпространява зловреден софтуер като ThreatNeedle, AGAMEMNON, wAgent, SIGNBT и COPPERHEDGE.

Атаките се отличаваха с експлоатация на уязвимост в сигурността в iniLINE Cross EX за доставяне на зловреден софтуер. Cross EX е задължителна програма за финансова сигурност, инсталирана от южнокорейските интернет потребители на техните компютри, за да поддържа софтуер за сигурност в различни браузърни среди при достъп до онлайн банкиране и правителствени услуги.

Експлойтът беше проектиран да стартира легитимния процес „SyncHost.exe“ и да инжектира shellcode в него, за да зареди задната врата (backdoor) ThreatNeedle. Веригата на атаката включваше и 1-day уязвимост в решението за пренос на файлове Innorix Agent версия 9.2.18.496 за странично придвижване (lateral movement).

Operation FlashHole продължава практиката от предходната вълна да се взима на прицел специфичен за Южна Корея софтуер за пробив в организациите. Докато SyncHole експлоатираше Cross EX, беше установено, че FlashHole злоупотребява с INISAFE CrossWeb EX на Initech — друго задължително решение за финансова сигурност, необходимо за достъп до онлайн банкиране и правителствени портали в страната.

Според уебсайта на iniLINE компанията е сключила стратегически съюз с Initech още през 2010 г. за разработването на CrossWeb. В момента то се предлага на пазара от Initech като решение за удостоверяване, базирано на сертификати, и електронен подпис.

При все това Lazarus Group има дълга история на злоупотреба с този софтуер за постигане на целите си. През третото тримесечие на 2021 г. той беше използван за внедряване на инструмент за изтегляне (downloader), наречен Racket, във връзка с дългогодишна кампания, наречена DeathNote.

Между 2022 и 2023 г. AhnLab също разкри атаки, при които злонамереният субект експлоатира уязвимост в сигурността на софтуера, за да разпространява зловреден DLL софтуер („SCSKAppLink.dll“) чрез watering hole атаки, като зловредният DLL код се извлича от IIS уеб сървъри, компрометирани от атакуващия.

„Групата първо хаква корейски уебсайтове и модифицира съдържанието, предоставяно от сайта“, отбелязва AhnLab в доклад от юли 2023 г. „Когато система, използваща уязвима версия на INISAFE CrossWeb EX V6, посети този уебсайт през уеб браузър, зловредният софтуер на Lazarus (SCSKAppLink.dll) се инсталира от сайта за разпространение чрез уязвимостта в INISAFECrossWebEXSvc.exe.“

Констатациите се появяват и на фона на съвместен бюлетин за сигурност от юли 2026 г., публикуван от Корейската агенция за интернет и сигурност (KISA) и местни доставчици на решения за киберсигурност, подчертаващ експлоатацията от страна на Lazarus Group на уязвимости в подобни програми за финансова сигурност като AnySign4PC за разпространение на задни врати (backdoors) като Struggle (известна още като SIGNBT 3.0) и Brandoor (известна още като COPPERHEDGE), след подмамване на жертвите да посетят злонамерени URL адреси чрез целеви фишинг и watering hole техники.

„Атакуващите подтикваха мишените да осъществят достъп до злонамерени URL адреси чрез различни методи, включително watering hole и spear-phishing атаки, и след това експлоатираха уязвимостите, за да инсталират в крайна сметка задна врата“, заявиха от AhnLab, наричайки кампанията Operation Double Barrel.

Точният първоначален вектор на достъп за FlashHole не е напълно изяснен, но признаците сочат към злонамерени уебсайтове, хоствани в GitHub Pages, една версия на които е съдържала автобиография на старши разработчик на мрежови устройства заедно с профилна снимка, вероятно генерирана чрез изкуствен интелект (AI).

Подозира се, че на мишените се изпращат целеви фишинг имейли, съдържащи връзки към злонамерения сайт, чието посещение задейства последователност от заразяване, включваща CrossWeb EX за стартиране на легитимния бинарен файл на Windows „fsquirt.exe“, който след това се използва за стартиране на зловреден DLL, наречен TechHub, чрез DLL sideloading.

„Веригата на заразяване е доста сложна и разкрива усъвършенстваните оперативни техники на Lazarus Group върху атакуваните хостове“, заявяват от Kaspersky. „Тези техники прикриват техния зловреден код, намерения и тяхната усъвършенствана рамка за доставка на зловреден софтуер.“

„Значим факт е, че веригата за изпълнение по-долу съществува само в паметта по време на първоначалното проникване, подчертавайки значителните усилия на атакуващите да скрият първоначалния пробив.“

TechHub от своя страна изтегля от GitHub зловреден софтуер, наречен TouchHub, който използва втори механизъм за DLL sideloading, за да стартира фалшив зловреден DLL код, наречен TOUCHSHIFT („mscoree.dll“), за установяване на постоянно присъствие чрез стартиране на изпълнението в паметта на друг екземпляр на TechHub.

Този втори екземпляр на TechHub извлича друго семейство зловреден софтуер, известно като ClientHub, за да изтегли и зареди LPEClient в паметта. LPEClient служи като проводник за Cubridge — оркестрационния компонент на рамката за зловреден софтуер, проектиран да извлича различни плъгини, модули и инструменти.

Допълнителни подробности относно набора от инструменти за зловреден софтуер са следните -

• TechHub, усъвършенствана версия на даунлоудъра CLOUDBURST и NickelLoader, която комуникира с GitHub, за да изтегля допълнителен злонамерен код като TouchHub и ClientHub, както и да събира информация за устройството и неговите стартирани процеси.
• Cubridge, подобрена версия на SIDESHOW и LightlessCan, способна да комуникира със сървър за управление и контрол (C2) и да изтегля плъгини за многократна употреба, DLL помощни програми за еднократни задачи и допълнителни модули за разширяване на своята функционалност, позволявайки по този начин да събира изчерпателна системна информация, да изпълнява команди и да краде файлове и данни от уеб браузъри. Счита се също така, че представлява усъвършенствана версия на CookiePlus.
• TouchHub, родителски инсталатор за TouchShift.
• TouchShift, дропер за зловреден софтуер, способен да доставя кийлогъри, помощни програми за екранни снимки и задни вратички.
• ClientHub, недокументирана досега задна вратичка, която се предлага в две версии: една, която комуникира с контролиран от атакуващите сървър чрез HTTPS, и друга, която взаимодейства с Dropbox API. Крайната цел на зловредния софтуер е да разположи допълнителни плъгини и DLL файлове. Плъгините позволяват на зловредния софтуер да създава ZIP архиви, да събира файлове, отговарящи на шаблон за търсене, да изтрива определени файлове, както и да следи промените в локалните дискове и да връща събраната информация за състоянието.
• LPEClient, дългогодишен инструмент за профилиране на жертви и доставка на злонамерен код, използван от 2019 г. насам.

През август 2026 г. Check Point разкри, че LPEClient е бил разположен след експлоатация на уязвимост от тип нулев ден CVE-2026-68820 — дефект за ескалация на привилегии, засягащ Windows Ancillary Function Driver for WinSock, с цел разполагане на руткита FudModule.

Забележителното при най-новата версия на зловредния софтуер е, че тя използва ML-KEM-1024 — постквантов криптографски алгоритъм, за да установи криптирана връзка със сървъра на атакуващите, преди да изтегли и изпълни допълнителен зловреден софтуер директно в паметта.

„Операция FlashHole е най-новата вълна в по-широката кампания Cascade Hole, която включва използването на южнокорейски софтуер като потенциална входна точка за доставка на зловреден софтуер, насочен срещу страната“, заявиха от Kaspersky.

Компанията за киберсигурност заяви, че появата на операция FlashHole е съвпаднала с нова вълна от атаки, насочени срещу различни южнокорейски организации, използващи задната вратичка COPPERHEDGE. В поне един от случаите се посочва, че заразяването със задната вратичка е довело до източване на данни към сайт за изтичане на информация в тъмната мрежа, наречен ULOSE, по начин, подобен на атаките с рансъмуер Gunra, насочени срещу южнокорейски субекти приблизително по същото време.

„Lazarus продължава да разширява операциите си, като стартира нови кампании, въвеждайки нови инструменти и преработвайки познати такива, за да отговори на нуждите си“, заяви Рю в изявление, споделено с The Hacker News.

„Това, което заслужава по-голямо внимание, е възприемането от страна на Lazarus на криптография, проектирана да устои на бъдещи квантови заплахи. Нашите констатации проследяват нейното използване назад най-малко до септември 2024 г., показвайки, че тези възможности вече са защитавали комуникациите на зловредния софтуер на групата повече от година преди това разкритие.“