Gruparea Lazarus folosește AI și criptare post-cuantică într-o nouă campanie de spionaj cibernetic, avertizează Kaspersky

Gruparea de hackeri Lazarus a lansat o nouă campanie de spionaj cibernetic, în care combină inteligența artificială cu instrumente malware actualizate și metode de criptare concepute să reziste unor viitoare atacuri realizate cu calculatoare cuantice. Operațiunea, identificată de cercetătorii Kaspersky sub numele Operation FlashHole, vizează organizații din Coreea de Sud și folosește inclusiv site-uri false de prezentare profesională pentru a atrage victimele.

Campania este activă cel puțin din iulie 2025 și a vizat minimum trei organizații din sectoarele construcțiilor, software și producției de echipamente pentru comunicații prin cablu. Potrivit echipei Global Research and Analysis Team (GReAT) din cadrul Kaspersky, atacatorii și-au îmbunătățit instrumentele folosite anterior și au introdus componente malware noi, capabile să colecteze informații despre calculatoarele infectate și să comunice cu operatorii lor.

Cum folosește Lazarus inteligența artificială pentru a atrage victimele

Investigația Kaspersky a identificat un site găzduit prin GitHub Pages, asociat unui cont GitHub utilizat pentru comunicarea dintre malware și atacatori. Contul a fost creat în septembrie 2025 și găzduia inițial o pagină care prezenta CV-ul unui presupus dezvoltator senior de echipamente de rețea.

Metoda amintește de Operation DreamJob, o campanie cunoscută a grupării Lazarus, în care atacatorii folosesc oferte de angajare și oportunități profesionale false pentru a compromite sistemele victimelor. În cazul Operation FlashHole, atacurile au început cu mesaje de spear-phishing, adică e-mailuri înșelătoare adaptate unor persoane sau organizații specifice. Acestea conțineau linkuri către site-uri false de portofoliu profesional și CV-uri personalizate.

Un detaliu remarcat de cercetători se referă la folosirea unei fotografii generate cu ajutorul inteligenței artificiale, prezentată drept imaginea unui candidat la un loc de muncă. Kaspersky consideră că atacatorii ar fi utilizat AI și pentru adaptarea paginilor frauduloase la profilul organizațiilor vizate.

Prin personalizarea mesajelor și a site-urilor, atacatorii încearcă să facă tentativele de phishing mai convingătoare. În locul unor mesaje generice, victimele primesc conținut care pare legat de activitatea profesională sau de domeniul lor de interes.

O posibilă vulnerabilitate în CrossWeb EX ar fi permis infectarea sistemelor

Cercetătorii au reconstituit un lanț de infectare care ar fi putut implica CrossWeb EX, un modul de securitate și autentificare web utilizat pe scară largă în Coreea de Sud. Potrivit analizei, accesarea site-ului malițios ar fi putut declanșa procesul de infectare prin exploatarea unei posibile vulnerabilități a acestui software.

Vezi și:

Hackerii folosesc versiuni false de ChatGPT și Claude pentru a fura parole și date din companii. Peste 1.200 de incidente analizate în șase luni

Mii de sisteme inteligente de refrigerare sunt expuse pe internet. Ce avertizează Kaspersky

Kaspersky precizează că existase anterior un buletin de securitate care confirma o vulnerabilitate în software-ul de securitate financiară. Totuși, informațiile prezentate în raport indică o posibilitate privind mecanismul de infectare, nu o confirmare că toate sistemele vizate au fost compromise prin aceeași metodă.

În urma analizei, echipa GReAT a identificat mai multe componente malițioase și a descoperit un mecanism complex de instalare a programelor malware. Atacatorii au combinat versiuni actualizate ale unor instrumente cunoscute cu două componente care nu fuseseră documentate anterior, numite TouchHub și ClientHub.

Aceste instrumente pot instala alte programe malware, pot executa comenzi pe calculatoarele infectate și pot menține comunicarea cu operatorii campaniei. Una dintre familiile de instrumente include și o variantă care folosește Dropbox pentru a comunica cu atacatorii, o metodă care poate îngreuna identificarea traficului malițios atunci când acesta se amestecă printre conexiunile către servicii legitime.

LPEClient folosește criptare post-cuantică pentru comunicațiile cu atacatorii

Un element important al campaniei este o versiune actualizată a LPEClient, un instrument folosit de mult timp de gruparea Lazarus. Acesta colectează informații despre calculatoarele infectate și poate descărca programe malware suplimentare.

Noua variantă verifică inclusiv ce software de securitate este instalat, ce mecanisme de protecție Windows sunt active și ce alte caracteristici are sistemul compromis. Informațiile colectate sunt comprimate și criptate înainte de a fi transmise către atacatori.

LPEClient utilizează și ML-KEM-1024, un mecanism criptografic conceput pentru a proteja schimbul de chei împotriva unor atacuri viitoare realizate cu calculatoare cuantice. Acesta permite stabilirea unei conexiuni criptate cu serverul atacatorilor înainte ca alte componente malware să fie descărcate și executate direct în memoria sistemului.

Instrumentul încearcă să evite detectarea și prin modificarea protecțiilor memoriei și dezactivarea unui mecanism de monitorizare cunoscut drept hook. Acesta este folosit de instrumentele de securitate pentru a urmări anumite operațiuni și a identifica activități suspecte.

Sojun Ryu, cercetător senior în securitate în cadrul Kaspersky GReAT, afirmă că investigația indică folosirea criptografiei post-cuantice de către gruparea Lazarus cel puțin din septembrie 2024, cu mai bine de un an înainte ca aceste informații să fie făcute publice.

„Un aspect care merită o atenție deosebită este adoptarea de către Lazarus a criptografiei concepute să reziste amenințărilor cuantice viitoare”, a declarat cercetătorul, potrivit comunicatului Kaspersky.

Ce măsuri pot lua organizațiile pentru a limita riscurile

Kaspersky recomandă companiilor să își instruiască angajații pentru a recunoaște tentativele de phishing personalizat și să verifice cu atenție mesajele neașteptate, inclusiv atunci când acestea trimit către site-uri profesionale aparent credibile. Mesajele suspecte ar trebui raportate echipei responsabile de securitatea informatică.

O altă măsură importantă este actualizarea regulată a programelor și instalarea rapidă a patch-urilor de securitate. Organizațiile ar trebui să evalueze periodic vulnerabilitățile aplicațiilor esențiale și să dezactiveze componentele de care nu mai au nevoie. Limitarea privilegiilor conturilor și monitorizarea conexiunilor către serviciile cloud pot reduce, de asemenea, posibilitățile atacatorilor de a menține canale de comandă și control.

Pentru identificarea și investigarea incidentelor, compania recomandă folosirea unor soluții de securitate cu funcții EDR și XDR, precum și a serviciilor specializate de detectare și răspuns la amenințări. Kaspersky menționează și serviciile de analiză a compromiterii, răspuns la incidente și informații despre amenințări cibernetice, destinate inclusiv organizațiilor care nu au suficienți specialiști proprii.

Particula-fantomă de la începutul timpului care ar putea explica de ce existăm. Descoperirea care schimbă povestea nașterii Universului