Исследователи Kaspersky GReAT 21 октября 2026 года рассказали о новой кампании кибершпионажа Operation FlashHole, которую связывают с группировкой Lazarus. Активность прослеживается как минимум с июля 2025 года, а среди выявленных целей — не менее трех организаций Южной Кореи из строительства, разработки программного обеспечения и производства оборудования для проводной связи. Атакующие использовали адресные письма и поддельные материалы кандидатов на работу, чтобы заманить сотрудников на подготовленные страницы.
В материалах исследования фигурируют GitHub Pages, учетная запись GitHub, применявшаяся в инфраструктуре управления, и легитимное банковское программное обеспечение INISAFE CrossWeb EX. Ключевой признак кампании — смешение обычных компонентов и новых вредоносных модулей. Атрибуция Lazarus принадлежит исследователям и не устанавливает личности конкретных операторов. Неизвестно и число организаций за пределами подтвержденной выборки.
Почему резюме оказалось удобной приманкой
Кандидатские портфолио и ссылки на проекты привычны для сотрудников, которые занимаются наймом и проверкой подрядчиков. Злоумышленники использовали эту ситуацию для целевого фишинга, размещая подготовленные материалы на инфраструктуре GitHub Pages. Домен известного хостинга сам по себе выглядит знакомым, но содержимое страницы может принадлежать любому пользователю. В такой схеме доверие к платформе ошибочно переносится на конкретный файл или инструкцию.
Как в цепочке появилось банковское ПО
Kaspersky описала злоупотребление легитимным компонентом INISAFE CrossWeb EX, который применяется в южнокорейских финансовых сервисах. Через взаимодействие с таким программным обеспечением злоумышленники создавали условия для дальнейшего исполнения вредоносных компонентов. Важна сама идея: установленный по законным причинам компонент способен стать частью атаки, если преступник находит подходящий путь его использования. Это не утверждение о компрометации всех пользователей INISAFE.
Какие инструменты исследователи связали с Lazarus
В кампании обнаружены ранее не описанные инструменты TouchHub и ClientHub, а также обновленная версия LPEClient. Kaspersky отмечает использование постквантовой криптографии для защиты связи вредоносного ПО с управляющей инфраструктурой. Такая технология в данном случае служит интересам атакующего: она осложняет анализ сетевых обменов, но не доказывает, что злоумышленники взломали постквантовое шифрование.
Исследователи также обращают внимание на применение ИИ при подготовке фальшивых профилей кандидатов. Это ограниченная роль генеративных инструментов в социальной инженерии, а не подтверждение того, что автономный ИИ сам выбирал и взламывал жертв. Сочетание реалистичной приманки, легитимного ПО и нескольких вредоносных модулей делает кампанию показательной для корпоративной защиты.
Что известно о жертвах и проверке атаки
Kaspersky установила как минимум три пострадавшие организации в Южной Корее и представила результаты на Security Analyst Summit 2026. Публично доступное сообщение не раскрывает полные списки всех целей, масштаб ущерба и данные, которые могли быть вывезены. Для команд безопасности полезен технический разбор цепочки, а не попытка вывести общее число заражений из отдельных наблюдений. Особенно важно проверять внешние ссылки в письмах о найме и неожиданный запуск компонентов через доверенное программное обеспечение.
Вопросы и ответы (FAQ)
Что такое Operation FlashHole?
Кампания целевого кибершпионажа, которую Kaspersky связывает с Lazarus и отслеживает как минимум с июля 2025 года.
При чем здесь GitHub?
GitHub Pages использовался для подготовленных страниц, а учетная запись GitHub фигурировала в инфраструктуре управления атакой.
Использовала ли Lazarus искусственный интеллект?
Исследователи сообщают об ИИ при подготовке фальшивых профилей кандидатов; автономные взломы моделью не подтверждены.
Что означает постквантовое шифрование в вредоносном ПО?
Это способ защиты связи атакующего с его инструментами, а не свидетельство взлома криптографического алгоритма.
Сколько организаций пострадало?
В исследовании описано не менее трех организаций Южной Кореи; полный масштаб кампании неизвестен.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
