«Лаборатория Касперского» связала атаки Lazarus с поддельными резюме на GitHub Pages

Группировка Lazarus Group, которую связывают с Северной Кореей, ведёт кампанию кибершпионажа Operation FlashHole. Атакам подверглись как минимум три организации в Южной Корее: в строительстве, разработке программного обеспечения и производстве оборудования для проводной связи. Об этом сообщили специалисты «Лаборатории Касперского», данные приводит Глобальный центр исследования и анализа угроз компании (Kaspersky GReAT).

По оценке исследователей, атаки идут непрерывно с июля 2025 года.

Поддельные резюме и уязвимость в легитимной программе

Начиналось всё с адресных фишинговых писем. В них были ссылки на подставные ресурсы с резюме и портфолио соискателей. Один такой сайт размещался на GitHub Pages, а фотография «кандидата» на нём была сгенерирована искусственным интеллектом. Исследователи допускают, что нейросети применялись и для подгонки фальшивых страниц под конкретных сотрудников компаний-целей.

Дальше злоумышленники опирались на программу CrossWeb EX — легитимное южнокорейское ПО для финансовой аутентификации. По версии «Лаборатории Касперского», возможная уязвимость в нём могла открыть атакующим путь в системы жертв.

Два новых инструмента и постквантовый канал связи

В ходе кампании специалисты нашли два ранее неизвестных вредоносных инструмента — TouchHub и ClientHub. Оба позволяют выполнять команды на заражённом устройстве, ставить на него дополнительное вредоносное ПО и держать связь с операторами. В одной из модификаций для связи с атакующими задействован Dropbox.

Отдельно исследователи разобрали обновлённую версию LPEClient. Она использует механизм обмена ключами ML-KEM-1024 — постквантовую криптографию, рассчитанную на защиту соединения от атак будущих квантовых компьютеров. С его помощью программа поднимает зашифрованный канал с сервером злоумышленников, а затем загружает и запускает дополнительные модули прямо в оперативной памяти, не оставляя файлов на диске.

По данным «Лаборатории Касперского», постквантовую криптографию группировка применяет как минимум с сентября 2024 года.

Шпионаж здесь не связан с кражей криптовалюты напрямую, но по инструментам видно, куда движется инфраструктура атакующих: те же механизмы защиты канала пригодятся и при выводе украденных средств через адреса, которые потом сложно связать между собой.