Kuzey Kore bağlantılı Lazarus Grubu, Güney Kore’deki kuruluşları hedef alan FlashHole saldırı kampanyasında zararlı yazılım aktarımını korumak için kuantum sonrası kriptografi kullanıyor. Kaspersky araştırmacıları, Temmuz 2025’te başladığı belirtilen saldırılarda standartlaştırılmış ML-KEM mekanizmasının komuta kontrol sunucularıyla iletişimde kullanıldığını belirledi. LPEClient, TechHub, ClientHub Cubridge gibi araçları araya getiren saldırı zinciri, kurban sistemlere ek zararlı yükler yerleştirirken güvenlik izleme mekanizmalarından kaçınmayı amaçlıyor.
FlashHole Kampanyası Güney Kore’deki Kuruluşları Hedef AlıyorKaspersky’nin analizine göre FlashHole adı verilen kampanya, karmaşık bulaşma zinciri üzerinden Güney Kore’deki kurumlara ulaşıyor. Araştırmacılar, yazılım, inşaat kablolu iletişim ekipmanı üretimi alanlarında faaliyet gösteren en az üç şirketin hedef alındığını belirledi. Güvenlik ekibi, saldırıların kuruluşlarla sınırlı kalmamış olabileceğini değerlendiriyor.
FlashHole saldırı zinciriSaldırılar, hedefleri özel olarak hazırlanmış GitHub sayfalarına yönlendiren kimlik avı sayfalarıyla başlıyor. sayfalardaki JavaScript kodu, harici alan adlarından içerik yükleyerek bellekte çalışan enfeksiyon zincirini tetikliyor. Süreçte Güney Kore’ yaygın kullanılan INISAFE CrossWeb EX güvenlik yazılımından yararlanılıyor.
Saldırganlar, INISAFE CrossWeb EX sürecini kullanarak Windows’un meşru fsquirt.exe dosyasını çalıştırıyor. dosya üzerinden yürütülen kabuk kodu, ek zararlı yazılımları indiren TechHub adlı indiriciyi sisteme yerleştiriyor. TechHub daha sonra özel GitHub depolarından yeni yükler alarak saldırının sonraki aşamalarını başlatıyor.
Enfeksiyon zincirine genel bakışFlashHole operasyonunun teknik açıdan öne çıkan unsuru, Lazarus Grubu’nun zararlı yazılım iletişiminde ML-KEM-1024 kullanması. NIST tarafından standartlaştırılan ML-KEM, kuantum bilgisayarların gelecekte oluşturabileceği kriptografik tehditlere karşı anahtar oluşturma ma amacı taşıyan mekanizma olarak geliştirildi. Lazarus, teknolojiyi meşru veri koruma amaçlarının dışında, sonraki zararlı yüklerin aktarımını gizlemek için kullanıyor.
Kaspersky’nin incelemesine göre LPEClient, komuta kontrol (C2) altyapısından her biri 1.568 bayt büyüklüğünde dört blok içeren bayt dizisi alıyor. Her blok ML-KEM-1024 açık anahtarı barındırıyor. Zararlı yazılım blokları kullanarak dört ayrı ortak anahtar çifti şifreli veri oluşturuyor; ardından şifreli verileri GOST algoritmasıyla şifreleyerek ClientHub üzerinden C2 sunucusuna iletiyor.
LPEClient evrimiOluşturulan ortak sırlar, başka şifreleme algoritması olan Threefish için anahtar malzemesi sağlıyor. Threefish, saldırganın yanıtında bulunan parametreleri çalıştırılabilir zararlı yükü çözmek için kullanılıyor. LPEClient, son aşamada Cubridge arka kapısını dosya olarak geleneksel biçimde başlatmak yerine yansıtmalı yükleme yöntemiyle doğrudan ana sistemin belleğine yerleştiriyor.
TechHub, özel GitHub depolarından ek zararlı yazılımları indirmek için kullanılan bileşen olarak görev yapıyor. ClientHub ise Dropbox üzerinden iletişim kurabilen LPEClient doğrudan veri alışverişi yapabilen yükleyici olarak tanımlanıyor. araçlar, saldırganların farklı iletişim yollarını kullanarak zararlı yükleri hedef sistemlere ulaştırmasına yardımcı oluyor.
Cuberidge iletişimleriLPEClient, bulaştırılan sistemler hakkında bilgi toplamanın yanı sıra şifrelenmiş yükleri alıyor güvenlik izleme mekanizmalarından kaçınmaya çalışıyor. Kaspersky, Lazarus’un operasyon sırasında kodun büyük bölümünü bellekte çalıştırdığını, ancak kalıcılık sağlamak için bazı dosyaların kurban sistemlerin disklerinde bırakıldığını belirtiyor. Bellek içi çalıştırma, diske yazılan dosyalara dayalı bazı tespit yöntemlerinin işini zorlaştırabiliyor; ancak tek başına saldırının fark edilmesini engellemiyor.
FlashHole kampanyasında kullanılan Cubridge, birden fazla işlevi destekleyen modüler arka kapı olarak tanımlanıyor. dosya yönetimi komut çalıştırma yeteneklerinin yanı sıra hedef sistem hakkında keşif yapabiliyor, ekran görüntüsü alabiliyor ek zararlı yükleri çalıştırabiliyor. işlevler, saldırganların ilk erişimden sonra sistem üzerindeki faaliyetlerini genişletmesine olanak tanıyor.
Kaspersky ayrıca Chromium tabanlı tarayıcılardaki hesap bilgilerini, çerezleri tarama geçmişini hedefleyen ek araçlar tespit. Tarayıcı verilerinin ele geçirilmesi, saldırganlara oturum bilgileri kullanıcı davranışları hakkında hassas bilgiler sağlayabilir. Ancak mevcut bulgular, ele geçirilen verilerin hangi ölçüde kullanıldığını veya belirli hesapların kötüye kullanıldığını tek başına doğrulamıyor.
ML-KEM’in FlashHole kampanyasında kullanılması, kuantum sonrası kriptografi teknolojilerinin yalnızca meşru güvenlik projelerinde değil, gelişmiş saldırı operasyonlarında yer bulabildiğini gösteriyor. NIST tarafından standartlaştırılan mekanizma, gelecekte kuantum bilgisayarlarla yapılabilecek çözme girişimlerine karşı veri korumasını güçlendirmeyi hedefliyor. Lazarus’un ise teknolojiyi zararlı yüklerin aktarımını gizlemek için kullanması, güvenlik ekiplerinin şifreleme algoritmasının kendisinden çok algoritmanın hangi süreçte hangi yazılımla birlikte kullanıldığına bakmasını gerektiriyor.
Kaspersky, FlashHole faaliyetlerini daha geniş kapsamlı Cascade Hole operasyonuyla ilişkilendiriyor önceki Operation SyncHole kampanyasıyla bağlantı konusunda orta yüksek arasında güven düzeyi bildiriyor. Kuruluşların özel GitHub depolarına yönlendiren şüpheli bağlantıları, beklenmedik JavaScript yüklemelerini, INISAFE CrossWeb EX fsquirt.exe arasındaki olağan dışı süreç ilişkilerini LPEClient benzeri araçların bellek içi faaliyetlerini incelemesi önem taşıyor. Özellikle Güney Kore’deki kuruluşlar açısından olay, güvenlik yazılımlarının meşru süreçlerinden yararlanan saldırılara karşı davranış tabanlı izleme uç nokta tespit kontrollerinin önemini ortaya koyuyor.
