«Лаборатория Касперского» обнаружила новую кампанию кибершпионажа Lazarus — с использованием ИИ и постквантового шифрования

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили новую волну целевых кибератак группировки Lazarus в рамках кампании Operation FlashHole. Она активна как минимум с июля 2025 года и затронула не менее трёх организаций в Южной Корее - из сфер строительства, разработки программного обеспечения и производства оборудования для проводной связи. В ходе атак злоумышленники использовали целевой фишинг, легитимное программное обеспечение CrossWeb EX, а также новые и обновлённые вредоносные инструменты. Исследователи также выявили признаки использования искусственного интеллекта и постквантовой криптографии. Цель кампании - кибершпионаж. Данные были представлены в рамках конференции Security Analyst Summit 2026.

Поддельные резюме как приманка. Атака начиналась с рассылки целевых фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, адаптированные под конкретных получателей. В ходе исследования эксперты обнаружили один из таких ресурсов, размещённый на GitHub Pages и связанный с аккаунтом GitHub, который злоумышленники использовали в качестве канала управления. Аккаунт был создан в сентябре 2025 года. Изначально на сайте размещалось резюме якобы опытного разработчика сетевого оборудования, а фотография «соискателя» была сгенерирована искусственным интеллектом. Подобные приманки Lazarus уже использовала в рамках кампании Operation DreamJob. Исследователи предполагают, что злоумышленники также применяли ИИ для адаптации поддельных сайтов под конкретные цели.

Что происходит дальше. Посещение таких сайтов с высокой долей вероятности запускало процесс заражения с участием CrossWeb EX - легитимного программного обеспечения для безопасности финансовых операций, широко используемого в Южной Корее. Оно необходимо для веб-аутентификации на сайтах большинства банков и государственных учреждений в стране. Предположительно, злоумышленники могли использовать уязвимость в CrossWeb EX для первоначального проникновения в систему. Ранее была опубликована информация, подтверждающая наличие уязвимости в ПО для безопасности финансовых операций. В ходе анализа эксперты «Лаборатории Касперского» обнаружили несколько вредоносных компонентов, реконструировали цепочку заражения, выявили сложную систему доставки вредоносного ПО и продвинутые методы сокрытия вредоносной активности.

Обновлённый инструментарий. В ходе кампании Lazarus использовала как обновлённые версии ранее известных вредоносных инструментов, так и два новых, прежде не описанных исследователями компонента - TouchHub и ClientHub. Эти компоненты позволяют устанавливать дополнительное вредоносное ПО, выполнять команды на заражённых устройствах и поддерживать связь со злоумышленниками с целью кибершпионажа. Модификация одного из новых инструментов использует Dropbox для связи со злоумышленниками.

В кампании также использовалась обновлённая версия LPEClient - инструмента, который Lazarus применяет уже достаточно давно. Он может собирать информацию о заражённых устройствах и доставлять дополнительное вредоносное ПО. Новая версия собирает сведения об установленном программном обеспечении безопасности, средствах защиты Windows и других характеристиках системы, сжимает и шифрует информацию, а потом отправляет злоумышленникам.

Постквантовое шифрование. Обновлённая версия LPEClient также использует ML-KEM-1024 - постквантовый криптографический механизм, предназначенный для защиты коммуникаций от потенциальных атак с использованием квантовых компьютеров в будущем. С его помощью вредоносное ПО устанавливает зашифрованное соединение с сервером атакующих, после чего загружает и запускает дополнительное вредоносное ПО непосредственно в памяти. Чтобы избежать обнаружения, LPEClient также пытается обойти механизмы мониторинга, которые защитные решения используют для выявления подозрительной активности в системе.

«Lazarus продолжает расширять свою деятельность, проводить новые кампании, внедрять новые инструменты и совершенствовать уже существующие. Анализ Operation FlashHole и результаты предыдущих исследований позволяют предположить, что группировка также начинает интегрировать искусственный интеллект в свои давно сложившиеся тактики. Подобную тенденцию мы наблюдаем и у других связанных с Lazarus злоумышленников. Особого внимания заслуживает использование группировкой криптографии, предназначенной для защиты от будущих квантовых угроз. Наши исследования показывают, что такие механизмы применялись как минимум с сентября 2024 года. Это означает, что злоумышленники использовали их для защиты коммуникаций вредоносного ПО более чем за год до публикации этих результатов», - комментирует Соджун Рю (Sojun Ryu), старший исследователь безопасности Kaspersky GReAT.

Подробный отчёт доступен на сайте Securelist.com.

Чтобы защититься от целевых атак Lazarus или других групп, «Лаборатория Касперского» рекомендует организациям:

· обучать сотрудников распознавать целевые фишинговые атаки: с осторожностью относиться ко всем письмам и не приходить сразу по ссылке, даже если кажется, что они ведут на надёжные веб-сайты, сообщать о подозрительных рассылках. Для этого можно воспользоваться специализированными онлайн-платформами, такими как Kaspersky Automated Security Awareness Platform;

· регулярно обновлять ПО на всех устройствах и отключать ненужные компоненты, чтобы снизить риск использования уязвимостей злоумышленниками;

· ограничивать права пользователей и отслеживать подключения к облачным сервисам, которые могут быть использованы злоумышленниками для удалённого управления;

· использовать комплексное решение для обеспечения кибербезопасности, например из линейки Kaspersky Symphony. Продукты, входящие в её состав, обеспечивают видимость угроз и защиту в режиме реального времени, предоставляют возможности уровня EDR и XDR для исследования и реагирования на них. Они подходят для организаций любого размера и отрасли;

· применять решения для управляемой защиты, такие как Kaspersky Compromise Assessment, Kaspersky Managed Detection and Response и/или Kaspersky Incident Response, охватывающие весь цикл реагирования на инциденты - от обнаружения угроз до их устранения. Они помогут противостоять скрытым кибератакам, анализировать инциденты и получать поддержку экспертов.

О KasperskyGReAT

Глобальный центр исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) основан в 2008 году. Его задача - выявлять APT-атаки, кампании кибершпионажа, вредоносное ПО, программы-вымогатели и тренды в киберпреступности по всему миру. Сегодня в команде Kaspersky GReAT более 35 экспертов, работающих по всему миру - в Европе, России, Южной Америке, Азии, на Ближнем Востоке. Талантливые профессионалы в сфере кибербезопасности играют ведущую роль в исследовании вредоносного ПО и создании инновационных методов борьбы с ним. Их богатый опыт, мотивация и любознательность способствуют эффективному обнаружению и анализу киберугроз.