Lazarus Group атаковала организации Южной Кореи в операции FlashHole
Кампания FlashHole, связанная с группой Lazarus Group, была направлена против южнокорейских организаций из сфер программного обеспечения, строительства и производства проводного коммуникационного оборудования. Данные об активности относятся к июлю 2025 года, подтверждено не менее трёх жертв. Для заражения злоумышленники рассылали целевые фишинговые письма со ссылками на сайты резюме, портфолио или дизайна интерьера, размещённые на GitHub Pages.
Заражение и закрепление в системе
Сайты загружали внешний JavaScript с вредоносных доменов и, вероятно, инициировали злоупотребление приложением CrossWeb EX, обязательным в Южной Корее программным обеспечением для финансовой безопасности. Ранее злоумышленники использовали связанное с ним программное обеспечение Cross EX в операции SyncHole.
Первичное заражение происходило полностью в оперативной памяти. Легитимный файл Windows fsquirt.exe запускался в рамках процесса CrossWeb EX, а в него внедряли шеллкод с вредоносным ПО TechHub. TechHub собирал сведения о хосте и использовал репозитории GitHub как инфраструктуру управления. Для аутентификации он применял жёстко заданные или записанные в конфигурации персональные токены доступа GitHub. Вредоносное ПО могло извлекать и рефлексивно загружать дополнительный шеллкод и полезные нагрузки.
Для закрепления TechHub развёртывал TouchHub и TouchShift с помощью подмены DLL, используя вредоносный файл mscoree.dll. TouchHub копировал легитимный исполняемый файл и регистрировал его как службу Windows с привилегиями SYSTEM. Для затруднения криминалистического анализа он также манипулировал метками времени. TouchShift расшифровывал и загружал в память следующую версию TechHub.
Полезные нагрузки и управление
Среди дополнительных полезных нагрузок были ClientHub, LPEClient и Cubridge. На диск записывалось лишь небольшое количество артефактов. Cubridge служил основным фреймворком оркестрации и взаимодействовал со скомпрометированными легитимными сайтами через динамически создаваемые URL и зашифрованные рукопожатия RSA/RC6. Он поддерживал плагины, инструменты и модули, доставляемые через инъекцию DLL, рефлексивную загрузку и инъекцию с отображением секций.
ClientHub использовал для управления HTTP(S), Dropbox или скомпрометированные сайты. Он шифровал конфигурационные данные алгоритмом SNOW и имитировал трафик браузера Chromium с помощью современных заголовков клиентских подсказок (client hints).
LPEClient собирал подробные сведения о жертвах, включая информацию об операционной системе, аппаратном обеспечении, антивирусе, уровне установки обновлений, средствах защиты от атак и домене. Он обменивался данными с ClientHub через разделяемую память и не содержал адреса сервера управления.
Вредоносное ПО применяло криптографические алгоритмы GOST, AES, Threefish, RSA и ML-KEM-1024, а затем выполняло отражательную загрузку полезных нагрузок размером более 4 КБ. Оно также отключало инструментирование системных вызовов в пользовательском режиме с помощью изменённой заглушки системного вызова. Последней полезной нагрузкой, обнаруженной в цепочке, стал Cubridge.
Использование LPEClient, родословная вредоносного ПО, инфраструктура и методы заражения связывают FlashHole с операциями Lazarus, в том числе SyncHole и Dream Job.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
