Группировка Lazarus, которую связывают с КНДР, провела кампанию Operation FlashHole против как минимум трёх организаций в Южной Корее — из строительства, разработки ПО и производства оборудования связи. Атакующие использовали обязательный для местных банковских и государственных сервисов защитный компонент INISAFE CrossWeb EX, а в новой версии загрузчика применили постквантовый алгоритм ML-KEM-1024 для защищённого обмена с управляющим сервером.
Кампания активна как минимум с июля 2025 года, сообщает The Hacker News со ссылкой на исследователей Kaspersky GReAT. Для российских команд история важна не экзотикой корейского ПО, а механикой атаки: легитимный защитный клиент превращается в часть цепочки доставки, а фишинговая ссылка ведёт не на очевидный вредоносный домен, а на правдоподобную страницу с резюме или портфолио.
Цели выбирали точечно. По данным Kaspersky, злоумышленники рассылали spear-phishing-письма со ссылками на сайты, оформленные под конкретных адресатов. В одном из вариантов исследователи нашли резюме старшего разработчика сетевых устройств на GitHub Pages; фотография в профиле, вероятно, была сгенерирована ИИ. После перехода на такую страницу цепочка задействовала CrossWeb EX, запускала штатный Windows-процесс fsquirt.exe и подгружала вредоносную DLL TechHub через DLL sideloading.
На первом этапе полезная нагрузка существует только в памяти. Это усложняет работу антивирусов и расследование: на диске меньше явных артефактов, а штатный бинарник Windows выглядит куда менее подозрительно, чем неизвестный исполняемый файл. TechHub затем связывается с GitHub для получения следующих компонентов, собирает сведения об устройстве и запущенных процессах.
От Cross EX к CrossWeb: знакомая точка входа
Operation FlashHole продолжает более широкую серию атак Cascade Hole. Предыдущую волну, Operation SyncHole, Kaspersky описала в апреле 2025 года: тогда Lazarus эксплуатировала уязвимость в iniLINE Cross EX, ещё одном корейском решении для работы с банковскими и государственными сайтами. Через легитимный SyncHost.exe атакующие внедряли код и запускали бэкдор ThreatNeedle.
У Lazarus уже есть история эксплуатации INISAFE CrossWeb EX. В 2021 году этот продукт использовали для доставки загрузчика Racket в кампании DeathNote. В 2022–2023 годах AhnLab сообщала о watering hole-атаках через уязвимые версии CrossWeb EX: заражённые сайты отдавали вредоносную DLL посетителям, а полезная нагрузка размещалась на скомпрометированных IIS-серверах. В июле 2026 года KISA и корейские вендоры также предупреждали об атаках на другие финансовые защитные программы, включая AnySign4PC.
Для бизнеса это неприятное напоминание: «обязательное ПО безопасности» не получает автоматический иммунитет от оценки рисков. Чем глубже такой продукт встроен в браузеры, электронные подписи и аутентификацию, тем привлекательнее он как инфраструктурная точка входа. Его обновления, список разрешённых процессов, сетевые соединения и механизм загрузки модулей должны попадать в обычный цикл управления уязвимостями, а не жить отдельной жизнью у команды поддержки.
После закрепления заражение развивается по модульной схеме. TouchHub устанавливает компонент TouchShift, способный доставлять кейлоггеры, средства создания снимков экрана и бэкдоры. ClientHub — ранее не описанный бэкдор — может общаться с сервером атакующих по HTTPS либо через API Dropbox. Он умеет загружать плагины для архивации данных, поиска файлов по маске, удаления выбранных файлов и отслеживания изменений на локальных дисках.
Дальше в памяти загружается LPEClient — инструмент профилирования жертвы и доставки полезной нагрузки, известный как минимум с 2019 года. Он служит проводником для Cubridge, компонента управления, который получает плагины, выполняет команды, собирает системные сведения и крадёт файлы и данные браузеров. В августе 2026 года Check Point связывала LPEClient с эксплуатацией уязвимости CVE-2026-68820 в Windows Ancillary Function Driver for WinSock для установки руткита FudModule.
Постквантовая криптография — не признак «квантового взлома»
Самая заметная техническая деталь Operation FlashHole — использование ML-KEM-1024 для установления шифрованного канала перед загрузкой и запуском модулей в памяти. ML-KEM — стандартизированный постквантовый механизм инкапсуляции ключей, рассчитанный на устойчивость к атакам будущих квантовых компьютеров. В данном случае он не делает кампанию магической: это способ скрыть обмен с C2 и усложнить анализ трафика или имитацию инфраструктуры атакующих.
Для защитников практический вывод прозаичнее. Нужны контроль запуска подписанных системных утилит в нетипичных сценариях, телеметрия DLL sideloading, аудит обращений корпоративных хостов к GitHub Pages и облачным API, а также проверка того, какие браузерные и криптографические плагины действительно необходимы сотрудникам. Почтовый фильтр тоже не спасёт в одиночку: страница с убедительным профилем и резюме вполне проходит человеческую проверку «на глаз».
Lazarus всё чаще строит атаки не вокруг одного эксплойта, а вокруг длинной связки из доверенных компонентов, легитимных сервисов и модульных бэкдоров. Следующий важный вопрос — останется ли постквантовое шифрование редкой особенностью наиболее целевых операций или станет стандартной деталью инструментария группировок, которые уже умеют маскировать вредоносный трафик под нормальную работу корпоративной инфраструктуры.
