Kaspersky’nin Global Araştırma ve Analiz Ekibi (GReAT), Lazarus grubuyla ilişkilendirdiği Operation FlashHole adlı siber casusluk kampanyasının Güney Kore’de en az üç kuruluşu etkilediğini açıkladı. Şirketin 22 Ekim 2026 tarihli duyurusuna göre, en az Temmuz 2025’ten bu yana aktif olan kampanya inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerini hedef aldı.
Bali’de düzenlenen Security Analyst Summit’te paylaşılan araştırmada, operasyon daha önce tespit edilen Operation SyncHole ile bağlantılı yeni bir saldırı dalgası olarak değerlendirildi.
Sahte öz geçmiş siteleri ve bulut hizmetleri kullanılıyor
Araştırmacılara göre saldırılar, hedef kişilere özel hazırlanmış portföy ve öz geçmiş sitelerine bağlantılar içeren oltalama e-postalarıyla başlatıldı. Ekip, komuta-kontrol iletişiminde kullanılan bir GitHub hesabıyla bağlantılı GitHub Pages sitesi buldu. Eylül 2025’te açılan hesabın başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte öz geçmiş yayımladığı belirtildi.
Kaspersky, sitede yapay zekâyla üretilmiş bir portre bulunduğunu ve bunun saldırganların hedeflere özel yemler hazırlarken yapay zekâdan yararlandığına işaret ettiğini bildirdi. Şirket, kötü amaçlı site ziyaretinin CrossWeb EX adlı güvenlik ve web kimlik doğrulama yazılımı üzerinden bulaşma zincirini tetiklemiş olabileceğini değerlendiriyor. Yazılımdaki olası bir güvenlik açığının ilk erişim için kullanıldığı değerlendirmesi kesinleşmiş bir bulgu olarak sunulmuyor.
Yeni araçlar ve kuantum sonrası şifreleme
Araştırmada, daha önce belgelenmemiş TouchHub ve ClientHub araçlarının mevcut zararlı yazılımların güncellenmiş sürümleriyle birlikte kullanıldığı belirtildi. Bu bileşenlerin hedef bilgisayarlara ek zararlı yazılım yüklediği, komut çalıştırdığı ve saldırganlarla iletişimi sürdürdüğü bildirildi. Araçlardan birinin bir varyantı iletişim için Dropbox’tan yararlanıyor.
Kampanyada tespit edilen güncellenmiş LPEClient ise kurulu güvenlik yazılımları, Windows korumaları ve diğer sistem özellikleri hakkında bilgi topluyor; bu verileri sıkıştırıp şifreleyerek saldırganlara gönderiyor. Kaspersky’ye göre araç, ek zararlı yazılımları indirip doğrudan bellekte çalıştırmadan önce sunucuyla bağlantı kurmak için kuantum sonrası kriptografik mekanizma ML-KEM-1024’ü kullanıyor. Ayrıca bellek koruma ayarlarını değiştirerek ve bir izleme kancasını devre dışı bırakarak güvenlik denetimlerinden kaçınmaya çalışıyor.
Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, şirketin bulgularının Lazarus’un kuantum tehditlerine dayanıklı kriptografik yöntemleri en az Eylül 2024’ten bu yana kullandığını gösterdiğini söyledi.
Şirket, kuruluşlara beklenmedik e-posta ve bağlantıları doğrulama, güvenlik yamalarını gecikmeden uygulama, gereksiz yazılım bileşenlerini kapatma ve kullanıcı yetkilerini sınırlandırma önerisinde bulundu. Bulut hizmetlerinin komuta-kontrol amacıyla kullanılabilmesi nedeniyle bu hizmetlere yönelik bağlantıların izlenmesini de tavsiye etti.
