Северокорейская хакерская группировка Lazarus Group использует искусственный интеллект и постквантовую криптографию в кампании кибершпионажа Operation FlashHole. Об этом сообщили эксперты «Лаборатории Касперского».
По данным Глобального центра исследования и анализа угроз компании (Kaspersky GReAT), атаки продолжаются как минимум с июля 2025 года. Хакерские операции затронули не менее трех организаций в Южной Корее — из сфер строительства, разработки ПО и производства оборудования для проводной связи.
Атаки начинались с целевых фишинговых писем со ссылками на поддельные сайты с резюме и портфолио. Один из таких ресурсов размещался на GitHub Pages: фотография предполагаемого соискателя была сгенерирована ИИ. Исследователи предполагают, что нейросети могли использоваться и для адаптации фальшивых страниц под конкретных жертв.
В ходе кампании злоумышленники применяли легитимное ПО CrossWeb EX, используемое в Южной Корее для финансовой аутентификации. По версии исследователей, возможная уязвимость программы могла помочь атакующим проникнуть в системы жертв.
Специалисты обнаружили два ранее неизвестных вредоносных инструмента — TouchHub и ClientHub. Они позволяют выполнять команды на зараженных устройствах, устанавливать дополнительное вредоносное ПО и поддерживать связь с операторами. В одной из модификаций для связи с атакующими используется Dropbox.
Особое внимание исследователи обратили на обновленную версию инструмента LPEClient. Она использует ML-KEM-1024 — постквантовый механизм обмена ключами, предназначенный для защиты соединений от потенциальных атак будущих квантовых компьютеров. С его помощью вредоносная программа устанавливает зашифрованный канал с сервером злоумышленников, после чего загружает и запускает дополнительные модули непосредственно в оперативной памяти.
По данным «Лаборатории Касперского», группировка применяет постквантовую криптографию как минимум с сентября 2024 года.
Напомним, ИИ стал более серьезной угрозой для криптовалют, чем квантовые вычисления, к такому выводу пришли в Mysten Labs.