Эксперты Kaspersky GReAT выявили новую кампанию кибершпионажа Operation FlashHole, связанную с группировкой Lazarus. С июля 2025 года атакам подверглись как минимум три организации в Южной Корее, работающие в сферах строительства, разработки ПО и производства оборудования для проводной связи.
Злоумышленники используют целевой фишинг с поддельными резюме, размещенными на GitHub Pages. Для создания реалистичных портретов «соискателей» и адаптации сайтов под конкретные цели хакеры применяют искусственный интеллект. В качестве вектора проникновения, вероятно, используется уязвимость в легитимном ПО CrossWeb EX.
В арсенал Lazarus вошли новые вредоносные компоненты TouchHub и ClientHub, предназначенные для выполнения команд и установки дополнительного ПО. Обновленная версия инструмента LPEClient теперь использует постквантовый криптографический механизм ML-KEM-1024 для защиты связи с серверами управления.
По данным Kaspersky, группировка начала применять постквантовое шифрование для защиты коммуникаций вредоносного ПО еще в сентябре 2024 года. Lazarus продолжает совершенствовать методы сокрытия активности, обходя системы мониторинга и используя облачные сервисы, такие как Dropbox, для связи с зараженными устройствами.
