گروه Lazarus در یک کمپین جدید تحت عنوان عملیات FlashHole، با استفاده از تکنیک‌های بسیار پیشرفته و زنجیره‌ای از بدافزارهای چند مرحله‌ای، بخش‌های مختلفی از صنایع کره جنوبی را هدف قرار داده است. این عملیات که پس از عملیات SyncHole آغاز شده، نشان‌دهنده تکامل چشمگیر این گروه در استفاده از هوش مصنوعی برای مهندسی اجتماعی و به‌کارگیری روش‌های رمزنگاری مدرن برای پنهان‌سازی فعالیت‌هاست.
مهندسی اجتماعی مبتنی بر هوش مصنوعی و استراتژی Watering-hole
تحقیقات نشان می‌دهد که Lazarus برای ورود به شبکه قربانیان، از استراتژی Watering-hole استفاده کرده است. این گروه با ایجاد وب‌سایت‌های جعلی اما مرتبط (مانند صفحات رزومه و پورتفولیو) در سرویس GitHub Pages، کاربران را به سمت سایت‌های آلوده هدایت می‌کند. نکته قابل توجه، استفاده از تصاویر تولید شده توسط هوش مصنوعی (AI-generated images) در این رزومه‌ها برای افزایش اعتبار و فریب قربانیان است. این رویکرد نشان می‌دهد که عاملان تهدید به خوبی از ابزارهای هوش مصنوعی برای شخصی‌سازی حملات Spear-phishing خود بهره می‌برند.
سوءاستفاده از نرم‌افزارهای امنیتی اجباری
یکی از جنبه‌های کلیدی این عملیات، سوءاستفاده از نرم‌افزار امنیتی CrossWeb EX است که در کره جنوبی برای دسترسی به خدمات بانکی و دولتی الزامی است. مهاجمان با بهره‌گیری از آسیب‌پذیری‌های این نرم‌افزار، موفق شده‌اند زنجیره آلودگی خود را از طریق فرآیندهای قانونی و با سطح دسترسی بالا (High Integrity Level) اجرا کنند. این روش باعث می‌شود که بدافزار در مراحل اولیه حمله، عمدتاً به صورت در حافظه (In-memory) اجرا شده و ردپای بسیار کمی از خود روی دیسک باقی بگذارد.
زنجیره بدافزاری پیچیده و چند مرحله‌ای
تحلیل‌های فنی، یک زنجیره پیچیده از بدافزارها را شناسایی کرده‌اند که هر مرحله برای مرحله بعد آماده‌سازی انجام می‌شود:
- TechHub: یک Downloader که از طریق API سرویس GitHub و با استفاده از توکن‌های دسترسی شخصی (PAT) برای ارتباط با C2 استفاده می‌کند.
- TouchHub و TouchShift: این دو بدافزار با استفاده از تکنیک DLL side-loading برای ایجاد پایداری (Persistence) در سیستم و اجرای بدافزارهای بعدی به کار می‌روند.
- ClientHub: این بدافزار وظیفه مدیریت ارتباط با سرورهای فرماندهی و کنترل (C2) را بر عهده دارد و از الگوریتم رمزنگاری جریان (Stream Cipher) با نام SNOW استفاده می‌کند.
- LPEClient: ابزاری برای پروفایل‌سازی دقیق قربانی و تحویل Payloadهای نهایی که اخیراً بازطراحی شده است.
استفاده از رمزنگاری پساکوانتومی (Post-Quantum Cryptography)
یکی از یافته‌های بسیار مهم در این عملیات، مشاهده استفاده از الگوریتم ML-KEM-1024 در بدافزار LPEClient است. این الگوریتم که یک مکانیسم کپسوله‌سازی کلید (Key Encapsulation Mechanism) استاندارد NIST است، در حوزه رمزنگاری پساکوانتومی قرار دارد. استفاده از این تکنولوژی نشان‌دهنده تلاش هدفمند گروه Lazarus برای تضمین امنیت ارتباطات خود در برابر تهدیدات آینده رایانه‌های کوانتومی و پنهان‌سازی بسیار پیشرفته‌تر داده‌های سرقت شده است.
