Operation FlashHole: Kaspersky pripisuje kampaň skupine Lazarus
Kaspersky popísal cielenú kampaň Operation FlashHole proti organizáciám v Južnej Kórei. Malvér LPEClient v nej podľa firmy používal postkvantový mechanizmus ML-KEM-1024 pred doručením ďalších payloadov.
Operation FlashHole je názov kampane, ktorú Kaspersky 21. októbra 2026 pripísal skupine Lazarus so stredne až vysokou mierou istoty. Výskumníci zdokumentovali najmenej tri zasiahnuté organizácie v Južnej Kórei: zo sektora softvéru, stavebníctva a výroby zariadení pre káblovú komunikáciu.
Pozornosť vzbudil najmä aktualizovaný malvér LPEClient. Podľa analýzy Kaspersky používal ML-KEM-1024 na vytvorenie šifrovaného spojenia s riadiacim serverom ešte pred stiahnutím a spustením ďalšieho malvéru priamo v pamäti zariadenia.
Operation FlashHole a ML-KEM-1024
ML-KEM je mechanizmus zapuzdrenia kľúčov štandardizovaný Národným inštitútom pre štandardy a technológie v norme NIST FIPS 203. Patrí medzi postkvantové kryptografické mechanizmy, teda návrhy určené aj pre prostredie, v ktorom by sa mohli uplatniť kvantové počítače. Parameter ML-KEM-1024 predstavuje variant určený pre vyššiu úroveň bezpečnosti.
V tomto prípade však nejde o dôkaz, že útočníci disponujú praktickými kvantovými schopnosťami, ani o potvrdenie, že touto technológiou chránia všetku svoju komunikáciu. Zistenie Kaspersky skôr ukazuje, že štandardizovaná postkvantová kryptografia je dostupná aj tvorcom malvéru a môže byť súčasťou komunikácie s riadiacou infraštruktúrou.
Takéto šifrovanie môže komplikovať sieťovú analýzu komunikácie medzi napadnutým zariadením a útočníkovým serverom. Doteraz potvrdený rozsah zahŕňa najmenej tri cielené organizácie, nejde teda o potvrdenú plošnú kampaň proti bežným používateľom.
Phishing, CrossWeb EX a spúšťanie ďalšieho kódu
Reťazec útoku podľa Kaspersky zahŕňal spear-phishingové správy a návnady v podobe falošných životopisov alebo portfólií. Výskumníci v kampani zaznamenali aj zneužitie legitímneho softvéru CrossWeb EX. Presný spôsob jeho zneužitia zatiaľ neobjasnili: Kaspersky uvádza možnú súvislosť so zraniteľnosťou, no nepotvrdil využitie konkrétnej CVE.
Po vytvorení šifrovaného spojenia mal LPEClient stiahnuť ďalšie komponenty a spustiť ich v pamäti. Kaspersky medzi relevantné techniky zaradil aj DLL side-loading, pri ktorom môže legitímny program načítať škodlivú dynamickú knižnicu.
Pre správcov a bezpečnostné tímy sú preto podstatné najmä praktické indikátory reťazca útoku: phishingové prílohy a dokumenty vydávajúce sa za kariérne materiály, podozrivé procesy súvisiace s CrossWeb EX, známky DLL side-loadingu a neobvyklá komunikácia s GitHubom, Dropboxom alebo kompromitovanými webmi. Kaspersky zároveň zverejnil detekčné označenia pre vlastné bezpečnostné produkty.
Atribúcia a ďalšie kroky
Pripísanie kampane skupine Lazarus nie je potvrdením zo strany štátneho orgánu ani samotných útočníkov. Kaspersky ho zakladá na technických prekryvoch a vlastnom hodnotení, preto zostáva relevantné aj nezávislé potvrdenie atribúcie a úplného rozsahu incidentov.
Ďalšie informácie sa môžu týkať najmä konkrétnej zraniteľnosti alebo mechanizmu spojeného s CrossWeb EX. Treba sledovať, či výrobca produktu, juhokórejské úrady alebo Kaspersky vydajú opravu či bezpečnostné upozornenie. Organizácie používajúce tento softvér môžu preveriť, či jeho komponenty naozaj potrebujú, aplikovať dostupné aktualizácie a monitorovať uvedené komunikačné kanály.
Zdroje
- Kaspersky Securelist – Technická analýza Operation FlashHole, rozsah zasiahnutých sektorov, reťazec útoku, atribúcia so stredne až vysokou istotou a popis malvéru.
- Kaspersky – Potvrdzuje tvrdenie výskumníkov, že LPEClient používa ML-KEM-1024 pred stiahnutím a spustením ďalšieho malvéru v pamäti, a uvádza odporúčané mitigácie.
- NIST FIPS 203 – Vysvetľuje, že ML-KEM je štandardizovaný postkvantový mechanizmus zapuzdrenia kľúčov a že ML-KEM-1024 je jeho parameter s najvyššou uvádzanou bezpečnostnou silou.
- BleepingComputer – Nezávisle sprostredkúva zistenia Kaspersky o použití postkvantovej kryptografie pri doručovaní payloadov.
Overené a aktualizované: 21. 10. 2026 22:55
