Kaspersky Global Araştırma ve Analiz Ekibi (GReAT), Endonezya’nın Bali kentinde düzenlenen Security Analyst Summit’te, Lazarus adlı siber casusluk grubuyla bağlantılı olduğu tespit edilen Operation FlashHole operasyonunun detaylarını paylaştı. Temmuz 2025 tarihinden itibaren aktif olan bu gelişmiş tehdit kampanyası, Güney Kore’de inşaat, yazılım geliştirme ve kablolu iletişim ekipmanları üretimi yapan en az üç farklı kuruluşu hedef almıştır. Saldırganlar, kurbanlara yönelik oltalama e-postaları gönderirken meşru CrossWeb EX yazılımından da faydalanmış; daha önce belgelenmemiş yeni zararlı araçları devreye alarak sistemlere sızmayı başarmıştır.
Yapay Zeka Destekli Oltalama ve Kuantum Sonrası Şifreleme
Araştırmacılar, operasyonun geçen yıl tespit edilen Operation SyncHole hareketinin yeni bir dalı olduğunu belirterek, saldırganların tekniklerini zaman içinde evrilttiğini vurgulamıştır. Tehdit aktörleri, komuta ve kontrol (C2) kanalı olarak istismar ettiği GitHub hesabına bağlı bir GitHub Pages web sitesi kullanmıştır. Eylül 2025’te oluşturulan bu profil, kıdemli bir ağ cihazı geliştiricisine ait sahte bir özgeçmiş sunmuştur. Sayfada yer alan yapay zeka ile üretilmiş portre fotoğrafı, Lazarus’un iş arama temalı Operation DreamJob stratejisiyle örtüştüğünü ve sitelerin hedeflere özel uyarlanırken yapay zekadan yararlanıldığını göstermektedir. Hedeflenen kişilere portföy ve özgeçmiş sitelerine yönlendiren bağlantılar içeren oltalama e-postalarıyla başlayan saldırı, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak bulaşma zincirini tetiklemiştir.
Yeni Araçlar ve Gelişmiş Kaçınma Teknikleri
Bulaşma sürecinin analizi sonucunda araştırmacılar, TouchHub ve ClientHub adında iki yeni aracı tespit etmiştir. Bu bileşenler, hedef bilgisayarlara ilave zararlı yükler indirerek komut çalıştırmakta ve saldırganlarla iletişimi sürdürmektedir. Özellikle LPEClient aracının güncellenmiş sürümü, sistemdeki güvenlik yazılımları ve Windows koruma mekanizmaları hakkında veri toplamakta; bu verileri sıkıştırıp şifreleyerek göndermektedir. Gelecekteki kuantum bilgisayar saldırılarına karşı dayanıklılık sağlamak amacıyla ML-KEM-1024 adı verilen kuantum sonrası bir kriptografik mekanizma kullanan araç, bellek üzerinde doğrudan çalışmadan önce şifreli bağlantı kurmaktadır. Ayrıca, güvenlik izleme kancalarını (hook) devre dışı bırakarak ve bellek koruma ayarlarını değiştirerek tespit edilmekten kaçınmaya çalışmaktadır.
Kaspersky Kıdemli Güvenlik Araştırmacısı Sojun Ryu, Lazarus grubunun faaliyet alanını genişletmeye devam ettiğini ve mevcut yöntemlerine yapay zekayı dahil ettiğini belirtmiştir. Grup, bulgular kamuoyuyla paylaşılmasından en az bir yıl önce, yani Eylül 2024’ten itibaren kuantum sonrası şifrelemeyi kullandığı için bu yeteneklerin uzun süredir aktif olduğu değerlendirilmektedir. Kuruluşların bu tür saldırılara karşı çalışanlarını eğitmesi, beklenmedik e-postaları doğrulaması, yazılımları güncel tutması ve kullanıcı yetkilerini sınırlandırması önerilmektedir. Kaspersky Next ürün ailesi ve Yönetilen Güvenlik Hizmetleri ile gerçek zamanlı koruma sağlanabilir.
