Lazarus внедряет ИИ-приманки и постквантовое шифрование для сокрытия кибершпионажа

Эксперты «Лаборатории Касперского» (Kaspersky GReAT) зафиксировали новую кампанию кибершпионажа под названием Operation FlashHole, организованную группировкой Lazarus. Атаки активны как минимум с июля 2025 года и затронули три организации в Южной Корее: из строительного сектора, сферы разработки ПО и производства оборудования для проводной связи.

Главная особенность кампании — использование искусственного интеллекта (ИИ) для создания приманок и постквантовой криптографии для сокрытия каналов связи. Данные были представлены на конференции Security Analyst Summit 2026.

Механика атаки: от поддельного резюме до заражения системы

Злоумышленники начали с рассылки целевых фишинговых писем. В них содержались ссылки на сайты с резюме и портфолио, адаптированные под конкретного получателя. Исследователи нашли один из таких ресурсов на платформе GitHub Pages. Аккаунт, через который велась атака, был создан в сентябре 2025 года.

На сайте размещалось резюме «опытного разработчика сетевого оборудования», а фотография соискателя была сгенерирована ИИ. Исследователи предполагают, что нейросети также использовались для персонализации сайтов под разные цели. Это напоминает тактики предыдущей кампании Operation DreamJob.

Посещение таких страниц запускало процесс заражения с использованием CrossWeb EX — легитимного ПО для безопасности финансовых операций, обязательного для входа на сайты банков и госучреждений Южной Кореи. Вероятно, атакующие воспользовались уязвимостью в этом приложении для первоначального проникновения в систему.

Новые инструменты и постквантовая защита

В ходе анализа эксперты выявили сложную цепочку доставки вредоносного ПО (малвари) и продвинутые методы сокрытия активности. В кампании использовались как обновленные, так и два новых компонента: TouchHub и ClientHub. Они позволяют устанавливать дополнительное ПО, выполнять команды на зараженных устройствах и поддерживать связь с операторами атаки.

Особого внимания заслуживает обновленная версия инструмента LPEClient, который Lazarus применяет уже давно. Новая версия собирает данные об установленном антивирусе и характеристиках системы Windows, шифрует их и отправляет злоумышленникам. Для защиты коммуникаций используется механизм ML-KEM-1024 — постквантовый криптографический стандарт, предназначенный для защиты от будущих атак квантовых компьютеров.

Использование постквантовой криптографии Lazarus началось как минимум в сентябре 2024 года. Это означает, что группировка защищала свои каналы связи более чем за год до публикации результатов исследования, опережая большинство коммерческих разработчиков по внедрению таких технологий.

Чтобы избежать обнаружения, LPEClient пытается обходить механизмы мониторинга защитных решений. Дополнительное вредоносное ПО загружается и запускается непосредственно в памяти устройства, минуя запись на диск.

Операционные последствия и меры защиты

• Риск для корпоративной инфраструктуры: Использование легитимного ПО CrossWeb EX как вектора атаки повышает опасность для компаний, работающих с южнокорейскими банками и госструктурами. Обновление такого ПО критически важно для снижения рисков.
• Сложность обнаружения: Переход на постквантовое шифрование затрудняет перехват и анализ трафика вредоносного ПО стандартными средствами мониторинга сети. Организациям необходимо внедрять решения с функциями EDR (Endpoint Detection and Response) и XDR, способные анализировать активность в памяти процессов, а не только на уровне файлов.
• Целевой характер атак: Применение ИИ для генерации персонализированных приманок повышает эффективность фишинга. Обучение сотрудников распознавать подозрительные письма с «идеально подходящими» деталями становится обязательным элементом безопасности, так как технические фильтры могут не отловить уникальный контент.
• Зависимость от облачных сервисов: Использование Dropbox и GitHub Pages для управления зараженными устройствами требует от ИТ-отделов строгого контроля за подключениями сотрудников к публичным облачным хранилищам и ограничением прав доступа.

Для защиты от подобных угроз «Лаборатория Касперского» рекомендует регулярно обновлять ПО, ограничивать права пользователей, отслеживать подключения к облачным сервисам и использовать комплексные решения для кибербезопасности с функциями реагирования на инциденты.