Wprowadzenie do problemu / definicja
Grupa Lazarus, wiązana z Koreą Północną, została powiązana z kampanią cyberwywiadowczą wymierzoną w organizacje z Korei Południowej. Najnowsza operacja pokazuje utrwalony schemat działania tego aktora: wykorzystywanie lokalnego oprogramowania bezpieczeństwa, powszechnie stosowanego w bankowości internetowej i usługach administracji publicznej, jako wektora wejścia do środowisk ofiar.
Na szczególną uwagę zasługuje użycie kryptografii postkwantowej do zabezpieczenia komunikacji pomiędzy malware a infrastrukturą operatorów. To sygnał, że Lazarus nie tylko rozwija techniki infekcji, ale również wzmacnia ochronę własnego zaplecza operacyjnego.
W skrócie
- Kampania, nazwana Operation FlashHole, była skierowana co najmniej do organizacji z sektorów budowlanego, software’owego i telekomunikacyjnego.
- Atak rozpoczynał się od spreparowanych witryn oraz prawdopodobnych wiadomości spear-phishingowych.
- Kluczową rolę odegrało nadużycie rozwiązania INISAFE CrossWeb EX oraz technika DLL sideloading z użyciem legalnych plików systemu Windows.
- W dalszych etapach wdrażano wielomodułowy zestaw malware do profilowania ofiary, pobierania kolejnych komponentów, kradzieży danych i utrzymywania trwałości.
- W najnowszych wariantach zaobserwowano wykorzystanie algorytmu ML-KEM-1024 do szyfrowania komunikacji z serwerem C2.
Kontekst / historia
Operation FlashHole wpisuje się w dłuższą serię działań Lazarusa ukierunkowanych na organizacje z Korei Południowej oraz lokalny ekosystem zabezpieczeń. Wcześniejsze operacje, w tym opisywana wcześniej kampania Operation SyncHole, również bazowały na nadużywaniu regionalnego oprogramowania ochronnego w celu dostarczania backdoorów i uzyskania dalszego dostępu do sieci ofiar.
Historia tych incydentów wskazuje, że nie mamy do czynienia z jednorazowym przypadkiem, lecz z konsekwentnie rozwijaną linią operacyjną. Badacze od lat dokumentują sytuacje, w których podatności lub zaufane komponenty południowokoreańskiego oprogramowania bezpieczeństwa były wykorzystywane do dystrybucji złośliwych bibliotek DLL i prowadzenia ataków typu watering hole.
Analiza techniczna
Początkowy wektor dostępu nie został jednoznacznie potwierdzony, jednak dostępne ustalenia wskazują na wykorzystanie fałszywych stron hostowanych między innymi w usługach deweloperskich. Ofiary mogły być kierowane na te zasoby za pomocą starannie przygotowanych wiadomości spear-phishingowych, podszywających się pod materiały zawodowe, takie jak CV, portfolio lub dokumenty projektowe.
Po wejściu na złośliwą stronę uruchamiany był łańcuch infekcji wykorzystujący komponent CrossWeb EX. Następnie atakujący posługiwali się legalnym plikiem systemowym Windows, takim jak fsquirt.exe, aby uruchomić złośliwą bibliotekę DLL poprzez technikę DLL sideloading. Taki sposób działania utrudnia wykrycie, ponieważ kod wykonywany jest w kontekście zaufanego procesu.
Jednym z pierwszych modułów był TechHub, odpowiedzialny za pobieranie kolejnych komponentów, profilowanie systemu oraz komunikację z zewnętrzną infrastrukturą. Następnie wdrażano TouchHub, który pełnił funkcję instalatora dla kolejnego ładunku o nazwie TouchShift. Ten etap rozszerzał możliwości ofensywne o funkcje takie jak keylogging, zrzuty ekranu czy dodatkowe backdoory.
Kolejna faza obejmowała użycie komponentu ClientHub, wcześniej nieopisanego publicznie backdoora występującego w różnych wariantach komunikacyjnych. Odpowiadał on za pobieranie dodatkowych pluginów i bibliotek DLL, a także za operacje na plikach, w tym archiwizację danych, wyszukiwanie określonych wzorców, usuwanie zasobów oraz monitorowanie zmian na dyskach lokalnych.
Następnie wdrażano LPEClient, wykorzystywany do dalszego profilowania ofiary i dostarczania kolejnych ładunków. Komponent ten działał jako pośrednik dla modułu Cubridge, który pełnił funkcję orkiestratora całego frameworka malware. Cubridge umożliwiał pobieranie wielokrotnego użytku pluginów, jednorazowych narzędzi DLL oraz modułów rozszerzających możliwości operacyjne, takich jak wykonywanie poleceń, zbieranie danych systemowych czy eksfiltracja plików i danych z przeglądarek.
Istotnym elementem kampanii było także silne ukrywanie początkowych etapów kompromitacji. Część łańcucha wykonania działała wyłącznie w pamięci operacyjnej, co znacząco ograniczało ślady pozostawiane na dysku i utrudniało analizę powłamaniową.
Najbardziej wyróżniającą cechą techniczną kampanii było jednak użycie algorytmu ML-KEM-1024, zaliczanego do mechanizmów kryptografii postkwantowej, do ustanawiania szyfrowanego kanału komunikacji przed pobraniem i uruchomieniem kolejnych ładunków bezpośrednio w pamięci. Z perspektywy obrońców oznacza to wzrost trudności analizy ruchu C2 i kolejny dowód na rosnącą dojrzałość operacyjną Lazarusa.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią należy uznać za wysokie, szczególnie dla organizacji działających w Korei Południowej lub współpracujących z tamtejszym rynkiem. Atakujący koncentrują się na podmiotach o wysokiej wartości wywiadowczej i stosują techniki ograniczające wykrywalność zarówno na etapie initial access, jak i podczas utrzymywania dostępu.
Potencjalne skutki obejmują kradzież dokumentów, danych z przeglądarek, informacji systemowych oraz informacji operacyjnych istotnych z punktu widzenia wywiadu gospodarczego i państwowego. Modularna architektura malware pozwala operatorom elastycznie dopasowywać działania do konkretnej ofiary, a wykorzystanie legalnych procesów i wykonania w pamięci utrudnia zarówno prewencję, jak i reagowanie.
Dodatkowym zagrożeniem pozostaje fakt, że Lazarus od lat wykorzystuje komponenty bezpieczeństwa stosowane przy dostępie do bankowości i usług publicznych. Jeżeli podobne rozwiązania nadal są szeroko wdrożone, mogą pozostawać atrakcyjną powierzchnią ataku dla kolejnych kampanii.
Rekomendacje
Organizacje powinny rozpocząć od inwentaryzacji lokalnie używanych komponentów bezpieczeństwa, zwłaszcza tych wymaganych przez bankowość internetową, usługi administracyjne i starsze procesy uwierzytelniania. Należy zweryfikować ich wersje, status wsparcia producenta oraz historię podatności.
- Monitorować uruchamianie legalnych binariów systemowych w nietypowych kontekstach, szczególnie pod kątem DLL sideloading.
- Analizować połączenia wychodzące do usług chmurowych i repozytoriów publicznych wykorzystywanych nietypowo jako kanały dostarczania payloadów.
- Rozszerzyć detekcję o techniki memory-resident execution oraz niestandardowe łańcuchy procesów.
- Wzmacniać ochronę stacji roboczych przez EDR/XDR z naciskiem na telemetrykę modułów ładowanych do procesów.
- Ograniczać uprawnienia użytkowników i segmentować sieć, aby utrudnić ruch lateralny po kompromitacji.
- Prowadzić szkolenia antyphishingowe ukierunkowane na wiadomości zawierające linki do portfolio, CV i materiałów branżowych.
Zespoły SOC powinny dodatkowo polować na oznaki użycia niestandardowych backdoorów, archiwizacji danych, monitorowania zmian na dyskach oraz nietypowego pobierania bibliotek DLL przez zaufane procesy. Organizacje narażone na działania aktorów państwowych powinny też traktować lokalne aplikacje bezpieczeństwa jako komponent wymagający regularnych przeglądów, a nie jako element domyślnie godny zaufania.
Podsumowanie
Operation FlashHole potwierdza, że Lazarus konsekwentnie rozwija kampanie cyberwywiadowcze wymierzone w Koreę Południową, opierając się na nadużywaniu lokalnego oprogramowania bezpieczeństwa, złożonych łańcuchach infekcji i modułowych frameworkach malware. Techniki takie jak DLL sideloading, wykonanie w pamięci oraz wykorzystanie legalnych procesów znacząco podnoszą poziom ukrycia działań.
Najważniejszym nowym sygnałem jest jednak zastosowanie kryptografii postkwantowej do ochrony komunikacji z infrastrukturą C2. To pokazuje, że Lazarus nie tylko utrzymuje wysoką aktywność operacyjną, ale również inwestuje w długoterminowy rozwój narzędzi ofensywnych i odporność własnych kanałów komunikacyjnych.
Źródła
- The Hacker News — https://thehackernews.com/2026/10/lazarus-abuses-south-korean-security.html
- Kaspersky Securelist — https://securelist.com/
- AhnLab ASEC — https://asec.ahnlab.com/
- KISA — https://www.kisa.or.kr/
- Initech INISAFE CrossWeb EX — https://www.initech.com/