SecAtor

Исследователи Лаборатории Касперского сообщают о новой компании APT Lazarus, называя эту активность Операция FlashHole. Обнаруженная в январе новая волна атак группы северокорейской группировки стала продолжением прошлогодней Операции SyncHole и также была направлена на цели в Южной Корее. Злоумышленники использовали доработанную цепочку заражения, которая сочетала в себе уже известное и новое вредоносное ПО. Кроме того, использовали в ходе атаки очередную защитную программу, обязательную для установки в Южной Корее, применяя watering hole. Примечательно, что в этой кампании группа работала с целями более тщательно: злоумышленники рассылали целевые фишинговые письма со ссылками на поддельные, но релевантные сайты - например, страницы с портфолио и резюме, подготовленные под каждую жертву. Первые следы новой кампании появились в июле 2025 года. Вероятно, Lazarus начали подготовку к ней вскоре после завершения Операции SyncHole, которая продолжалась не менее четырех месяцев. В ЛК выявили как минимум три организации в Южной Корее из числа жертв новой кампании. Они работают в сферах разработки ПО, строительства и производства оборудования проводной связи. По сравнению с Операцией SyncHole набор отраслей и, соответственно, круг изменился - расширился. В общем, спустя более года после первого обнаружения SyncHole в ЛК выявили аналогичную подозрительную цепочку выполнения, но на этот раз злоумышленник злоупотреблял CrossWeb EX, а не Cross EX (оба приложения поддерживаются одним разработчиком и связаны с защитой финансовых операций). Причем Lazarus эксплуатирует это ПО не впервые: в 2021 году применяла его для доставки загрузчика Racket, а также в 2022 и 2023 годах. Пока остается неизвестным, как именно злоумышленники использовали CrossWeb EX, но установлено, что цепочка атаки в итоге ведет к выполнению вредоносного ПО в памяти. При этом создаваемый процесс выполнялся с высоким уровнем целостности. Родительский процесс INISAFECrossWebEXSvc.exe относится к комплекту установки INISAFE CrossWeb EX V3 версии 3.4.1.2, которая была выпущена в 2023 году после выхода бюллетеня KrCERT. Как уже отмечалось в отчете по SyncHole, данная схема полностью соответствует давней стратегии APT, которую она применяет в Южной Корее на протяжении многих лет. Поскольку CrossWeb EX и подобное ПО обязательно для пользователей в Южной Корее и обычно работает в фоновом режиме для взаимодействия с браузером, группа использует его в качестве ключевого вектора атаки. В 2025 году на симпозиуме USENIX Security было представлено исследование уязвимостей обязательного в Южной Корее ПО для обеспечения безопасности, непреднамеренно создающих обширную поверхность атаки. В июле 2026 года корейское правительство и ряд местных поставщиков решений для ИБ также опубликовали совместный бюллетень, в котором описаны типичные техники атак Lazarus, в том числе эксплуатация ПО, предназначенного для защиты финансовых операций. Вместе с тем, несмотря на то что информация в бюллетене пересекается с результатами отчетов по Операциям FlashHole и SyncHole и подробный отчет AhnLab (под названием Operation Double Barrel о недавней активности Lazarus), исследователям Лаборатории Касперского удалось провести более точную атрибуцию на основе используемых группой TTPs. Новое исследование показывает, что Lazarus от кампании к кампании дорабатывает свой арсенал и в итоге применяет усовершенствованную цепочку заражения на их основе. Группа по-прежнему использует улучшенную версию LPEClient для профилирования жертв и доставки вредоносной нагрузки. При этом перешла на более защищенную постквантовую криптографию. Как и ожидалось, целевые атаки на Южную Корею продолжатся, при этом не предполагалось, что одновременно будут вестись сразу несколько кампаний, каждая из которых будет использовать свое ПО и инструменты. Примечательно, что кластер COPPERHEDGE, судя по всему, занимается монетизацией атак, тогда как Операция FlashHole нацелена на шпионаж. Подробный технический разбор цепочки атак и инструментария - в отчете.