• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• Российский рынок облаков за 20 лет
• 30 лет рынку ERP в России
• КИИ в облаке
• Сеть как дом
• 10 лет российского бэкапа
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• Интернет
• ИТ-бизнес
• Рейтинги
• Инфографика

21 Октября 2026 06:44 21 Окт 2026 06:44 |

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новую волну целевых кибератак группировки Lazarus в рамках кампании Operation FlashHole. Она активна как минимум с июля 2025 г. и затронула не менее трех организаций в Южной Корее — из сфер строительства, разработки программного обеспечения и производства оборудования для проводной связи. В ходе атак злоумышленники использовали целевой фишинг, легитимное программное обеспечение CrossWeb EX, а также новые и обновленные вредоносные инструменты. Исследователи также выявили признаки использования искусственного интеллекта и постквантовой криптографии. Цель кампании — кибершпионаж. Об этом CNews сообщили представители «Лаборатории Касперского».

Поддельные резюме как приманка. Атака начиналась с рассылки целевых фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, адаптированные под конкретных получателей. В ходе исследования эксперты обнаружили один из таких ресурсов, размещённый на GitHub Pages и связанный с аккаунтом GitHub, который злоумышленники использовали в качестве канала управления. Аккаунт был создан в сентябре 2025 года. Изначально на сайте размещалось резюме якобы опытного разработчика сетевого оборудования, а фотография «соискателя» была сгенерирована искусственным интеллектом. Подобные приманки Lazarus уже использовала в рамках кампании Operation DreamJob. Исследователи предполагают, что злоумышленники также применяли ИИ для адаптации поддельных сайтов под конкретные цели.

Что происходит дальше. Посещение таких сайтов с высокой долей вероятности запускало процесс заражения с участием CrossWeb EX — легитимного программного обеспечения для безопасности финансовых операций, широко используемого в Южной Корее. Оно необходимо для веб-аутентификации на сайтах большинства банков и государственных учреждений в стране. Предположительно, злоумышленники могли использовать уязвимость в CrossWeb EX для первоначального проникновения в систему. Ранее была опубликована информация, подтверждающая наличие уязвимости в ПО для безопасности финансовых операций. В ходе анализа эксперты «Лаборатории Касперского» обнаружили несколько вредоносных компонентов, реконструировали цепочку заражения, выявили сложную систему доставки вредоносного ПО и продвинутые методы сокрытия вредоносной активности.

Обновленный инструментарий. В ходе кампании Lazarus использовала как обновлённые версии ранее известных вредоносных инструментов, так и два новых, прежде не описанных исследователями компонента — TouchHub и ClientHub. Эти компоненты позволяют устанавливать дополнительное вредоносное ПО, выполнять команды на заражённых устройствах и поддерживать связь со злоумышленниками с целью кибершпионажа. Модификация одного из новых инструментов использует Dropbox для связи со злоумышленниками.

В кампании также использовалась обновленная версия LPEClient — инструмента, который Lazarus применяет уже достаточно давно. Он может собирать информацию о заражённых устройствах и доставлять дополнительное вредоносное ПО. Новая версия собирает сведения об установленном программном обеспечении безопасности, средствах защиты Windows и других характеристиках системы, сжимает и шифрует информацию, а потом отправляет злоумышленникам.

Постквантовое шифрование. Обновленная версия LPEClient также использует ML-KEM-1024 — постквантовый криптографический механизм, предназначенный для защиты коммуникаций от потенциальных атак с использованием квантовых компьютеров в будущем. С его помощью вредоносное ПО устанавливает зашифрованное соединение с сервером атакующих, после чего загружает и запускает дополнительное вредоносное ПО непосредственно в памяти. Чтобы избежать обнаружения, LPEClient также пытается обойти механизмы мониторинга, которые защитные решения используют для выявления подозрительной активности в системе.

«Lazarus продолжает расширять свою деятельность, проводить новые кампании, внедрять новые инструменты и совершенствовать уже существующие. Анализ Operation FlashHole и результаты предыдущих исследований позволяют предположить, что группировка также начинает интегрировать искусственный интеллект в свои давно сложившиеся тактики. Подобную тенденцию мы наблюдаем и у других связанных с Lazarus злоумышленников. Особого внимания заслуживает использование группировкой криптографии, предназначенной для защиты от будущих квантовых угроз. Наши исследования показывают, что такие механизмы применялись как минимум с сентября 2024 г. Это означает, что злоумышленники использовали их для защиты коммуникаций вредоносного ПО более чем за год до публикации этих результатов», — сказал Соджун Рю (Sojun Ryu), старший исследователь безопасности Kaspersky GReAT.

Чтобы защититься от целевых атак Lazarus или других групп, «Лаборатория Касперского» рекомендует организациям: обучать сотрудников распознавать целевые фишинговые атаки: с осторожностью относиться ко всем письмам и не приходить сразу по ссылке, даже если кажется, что они ведут на надежные веб-сайты, сообщать о подозрительных рассылках. Для этого можно воспользоваться специализированными онлайн-платформами; регулярно обновлять ПО на всех устройствах и отключать ненужные компоненты, чтобы снизить риск использования уязвимостей злоумышленниками; ограничивать права пользователей и отслеживать подключения к облачным сервисам, которые могут быть использованы злоумышленниками для удаленного управления; использовать комплексное решение для обеспечения кибербезопасности; применять решения для управляемой защиты.