À l’occasion du Security Analyst Summit à Bali, en Indonésie, l’équipe mondiale de recherche et d’analyse de Kaspersky (GReAT) a présenté ses conclusions sur la campagne de cyberespionnage Operation FlashHole, attribuée au groupe APT Lazarus. Active depuis au moins juillet 2025, cette campagne a déjà ciblé au moins trois organisations en Corée du Sud dans les secteurs de la construction, des logiciels et de la fabrication d’équipements de télécommunication. Les attaquants ont eu recours au spear-phishing, à l’exploitation du logiciel légitime CrossWeb EX ainsi qu’au déploiement de logiciels malveillants mis à jour, incluant des outils jusqu’alors non documentés.
Tribune – L’équipe GReAT a mis au jour une nouvelle vague d’attaques liée à l’opération SyncHole de Lazarus, découverte l’année dernière. Les cybercriminels ont depuis perfectionné leurs outils et techniques, rendant la campagne encore plus persistante et sophistiquée.
Dans le cadre de cette investigation, les chercheurs ont découvert un site web hébergé sur GitHub Pages et associé à un compte GitHub servant de canal de commande et de contrôle (C2). Créé en septembre 2025, ce compte hébergeait initialement un site présentant le CV d’un soi-disant développeur senior en équipements réseau, un leurre caractéristique de l’opération DreamJob, la campagne signature de Lazarus axée sur de fausses offres d’emploi. La page intégrait notamment une photo générée par IA du candidat fictif. Les chercheurs de Kaspersky estiment que les attaquants ont également utilisé l’IA pour personnaliser ces sites frauduleux selon leurs cibles. La campagne a débuté par des e-mails de spear-phishing contenant des liens vers ces faux portfolios et CV sur mesure.
Les résultats des recherches mettent en évidence une forte probabilité que la consultation du site malveillant ait déclenché un processus d’infection impliquant le logiciel CrossWeb EX, un module de sécurité et d’authentification web très répandu en Corée du Sud. Cette activité malveillante pourrait avoir été facilitée par une vulnérabilité au sein de CrossWeb EX, fournissant ainsi un point d’accès initial aux attaquants. Un avis de sécurité avait d’ailleurs été publié auparavant, confirmant l’existence d’une vulnérabilité dans ce logiciel de sécurité financière. Grâce à une analyse approfondie, les chercheurs ont identifié plusieurs charges utiles malveillantes et reconstitué la chaîne d’infection, révélant un cadre de distribution de malwares particulièrement sophistiqué ainsi que des techniques avancées pour dissimuler l’activité malveillante sur les systèmes ciblés.
Les attaquants ont combiné des versions mises à jour de leurs malwares existants avec deux outils inédits : TouchHub et ClientHub.
Ces composants installent des malwares supplémentaires, exécutent des commandes sur les ordinateurs infectés et communiquent avec les attaquants à des fins de cyberespionnage. L’un de ces nouveaux outils dispose notamment d’une variante exploitant Dropbox pour communiquer avec ses opérateurs.
La campagne s’appuie également sur une version mise à jour de LPEClient, un outil utilisé depuis longtemps par Lazarus pour collecter des informations sur les systèmes infectés et déployer des charges utiles additionnelles. Cette nouvelle version extrait des détails sur les solutions de sécurité installées, les protections intégrées à Windows et d’autres caractéristiques du système, puis compresse et chiffre ces données avant de les transmettre aux attaquants.
Cette version révisée de LPEClient intègre également ML-KEM-1024, un mécanisme de chiffrement post-quantique conçu pour protéger les communications contre d’éventuelles attaques menées par de futurs ordinateurs quantiques. Il utilise ce mécanisme pour établir une connexion chiffrée avec le serveur des attaquants avant de télécharger et d’exécuter d’autres malwares directement en mémoire. Afin d’échapper aux détections, l’outil tente également de contourner la surveillance de sécurité en modifiant les protections de la mémoire et en désactivant les crochets d’analyse (monitoring hooks) employés par les solutions de sécurité pour repérer les activités suspectes.
« Lazarus continue d’étendre le champ de ses opérations en lançant de nouvelles campagnes tout en introduisant de nouveaux outils et en remaniant ses arsenaux habituels pour répondre à ses besoins. Notre analyse de l’opération FlashHole, combinée aux preuves de nos enquêtes précédentes, indique que le groupe intègre désormais l’IA à ses méthodes traditionnelles, une tendance également observée chez d’autres acteurs de la menace affiliés à Lazarus. Ce qui mérite une attention particulière, c’est l’adoption par Lazarus d’un chiffrement conçu pour résister aux futures menaces quantiques. Nos découvertes font remonter son utilisation au moins jusqu’à septembre 2024, démontrant que ces capacités protégeaient déjà les communications malveillantes du groupe plus d’un an avant cette révélation », déclare Sojun Ryu, chercheur senior en sécurité au sein de l’équipe GReAT de Kaspersky.
Le rapport complet est disponible sur Securelist.com.
Pour se protéger contre les attaques de Lazarus et les campagnes telles que FlashHole, il est recommandé aux organisations de suivre ces bonnes pratiques :
-
Sensibiliser et former les collaborateurs à la détection des tentatives de phishing ciblé. Vérifier les e-mails et liens inattendus, même lorsqu’ils renvoient vers des sites professionnels convaincants, et signaler tout message suspect à l’équipe de sécurité.
-
Maintenir les logiciels à jour et appliquer rapidement les correctifs de sécurité. Évaluer régulièrement les vulnérabilités des applications critiques pour l’entreprise et désactiver les composants inutiles afin de réduire la surface d’attaque.
-
Restreindre les privilèges des utilisateurs et surveiller les connexions aux services cloud susceptibles d’être détournés à des fins de commande et contrôle (C2).