Безопасность 21 октября 2026, 06:44 МСК

«Лаборатория Касперского» нашла кампанию Lazarus с ИИ и постквантовым шифрованием

Kaspersky GReAT обнаружила кампанию Operation FlashHole группировки Lazarus, нацеленную на организации в Южной Корее и использующую признаки ИИ и постквантовой криптографии.

По данным «Лаборатории Касперского», кампания Operation FlashHole активна как минимум с июля 2025 года и затронула не менее трёх южнокорейских организаций: из строительной отрасли, разработки ПО и производства оборудования проводной связи. Цель атак — кибершпионаж.

Злоумышленники рассылали целевые фишинговые письма со ссылками на поддельные сайты с резюме и портфолио. Один из таких сайтов размещался на GitHub Pages, а фото «соискателя» было сгенерировано ИИ. Исследователи предполагают, что ИИ использовался и для адаптации сайтов под конкретные цели. Заражение, вероятно, шло через легитимное ПО CrossWeb EX для защиты финансовых операций, которое широко применяется в Южной Корее; возможно, использовалась его уязвимость.

В кампании применяли обновлённые инструменты и два новых компонента — TouchHub и ClientHub, позволяющие устанавливать дополнительное ПО и выполнять команды на заражённых устройствах. Одна из модификаций использует Dropbox для связи с атакующими. Обновлённый LPEClient собирает сведения о системе и средствах защиты, а для связи с сервером применяет постквантовый механизм ML-KEM-1024. По словам исследователя Соджуна Рю, такие механизмы группировка использовала как минимум с сентября 2024 года.

• Кампания активна как минимум с июля 2025 года
• Затронуты не менее трёх организаций в Южной Корее
• Новые инструменты: TouchHub и ClientHub; LPEClient использует ML-KEM-1024