Echipa Global Research and Analysis Team (GReAT) din cadrul companiei de securitate Kaspersky a identificat o nouă campanie de spionaj informatic, numită Operation FlashHole. Această operațiune, atribuită grupării Lazarus APT, este activă cel puțin din iulie 2025 și a vizat trei organizații din Coreea de Sud. Victimele fac parte din sectoarele construcțiilor, dezvoltării de software și producției de echipamente pentru comunicații prin cablu, reprezentând un nou val de atacuri de tip spionaj.
Atacatorii folosesc tehnici de spear-phishing și exploatează aplicația CrossWeb EX pentru a compromite sistemele țintelor. Pentru a induce în eroare utilizatorii, gruparea a creat un profil profesional fals de inginer de rețea, găzduit pe GitHub Pages începând cu septembrie 2025. Această metodă de momeală este similară cu campania Operation DreamJob. În plus, atacatorii utilizează imagini de profil generate prin inteligență artificială pentru a construi site-uri capcană adaptate specificului fiecărei ținte vizate.
Analiza tehnică a relevat utilizarea unor instrumente software noi, denumite TouchHub și ClientHub, create special pentru instalarea de încărcături malițioase și transferul de date. Una dintre variante utilizează serviciul cloud Dropbox ca canal de comunicație. De asemenea, atacatorii folosesc o versiune actualizată a modulului LPEClient, care extrage detalii despre setările de securitate ale sistemelor Windows, comprimă datele colectate și le transmite către servere externe pentru a facilita spionajul.
Un aspect critic identificat de experți este integrarea algoritmului criptografic post-cuantic ML-KEM-1024 în modulul LPEClient. Această tehnologie este concepută pentru a securiza comunicațiile împotriva capacităților viitoare ale computerelor cuantice. Sojun Ryu, cercetător senior în securitate la Kaspersky GReAT, a menționat că dovezile sugerează utilizarea acestor capabilități de protecție a comunicațiilor malware-ului cel puțin din septembrie 2024, cu peste un an înainte de publicarea acestor informații oficiale.
Pentru a evita detecția de către soluțiile de securitate, modulul malițios modifică parametrii de protecție ai memoriei și dezactivează punctele de monitorizare software. Experții recomandă instruirea angajaților împotriva mesajelor de phishing, aplicarea rapidă a corecțiilor software și limitarea drepturilor de administrare pe calculatoare. Este necesară, de asemenea, monitorizarea strictă a conexiunilor către serviciile cloud care pot fi utilizate neautorizat ca canale de comandă și control.
În contextul amenințărilor cibernetice globale, atacurile de tip spionaj informatic devin tot mai sofisticate prin adoptarea tehnologiilor emergente. Utilizarea inteligenței artificiale pentru personalizarea atacurilor și a criptografiei post-cuantice pentru protejarea infrastructurii de atac reprezintă o evoluție majoră în arsenalul grupărilor de tip APT. Aceste tactici sunt menite să asigure supraviețuirea operațiunilor de spionaj pe termen lung în fața sistemelor de apărare moderne.