Lazarus modernise FlashHole avec l’IA et ML-KEM-1024

Kaspersky a présenté à Bali les conclusions de son équipe mondiale de recherche et d’analyse sur l’opération FlashHole. Cette campagne de cyberespionnage est attribuée au groupe APT Lazarus. Elle est active depuis au moins juillet 2025. Les chercheurs ont identifié au moins trois organisations ciblées en Corée du Sud. Elles appartiennent aux secteurs de la construction, des logiciels et de la fabrication d’équipements de télécommunication. Les attaquants ont combiné le spear-phishing, l’exploitation du logiciel légitime CrossWeb EX et des logiciels malveillants mis à jour. Leur arsenal comprend aussi des outils jusqu’alors non documentés. Kaspersky a présenté ces résultats lors du Security Analyst Summit, organisé à Bali, en Indonésie. (Analyse de Kaspersky)

L’opération prolonge une activité liée à SyncHole, découverte l’année précédente. Kaspersky indique que Lazarus a perfectionné ses outils et ses techniques pour rendre cette campagne plus persistante. Les chercheurs ont découvert un site hébergé sur GitHub Pages, associé à un compte GitHub utilisé comme canal de commande et de contrôle. Créé en septembre 2025, ce compte présentait d’abord le CV d’un faux développeur senior spécialisé dans les équipements réseau. Ce leurre rappelle l’opération DreamJob, centrée sur de fausses offres d’emploi. La page contenait aussi une photographie générée par IA du candidat fictif. Les chercheurs estiment que l’IA a servi à personnaliser les sites selon les cibles.

Lazarus personnalise ses faux portfolios

Les premiers messages de la campagne contenaient des liens vers des portfolios et des CV frauduleux. Ces documents étaient adaptés aux destinataires visés. Kaspersky estime que la consultation d’un site malveillant a probablement déclenché une infection impliquant CrossWeb EX. Ce logiciel fournit des fonctions de sécurité et d’authentification web très répandues en Corée du Sud. Une vulnérabilité de CrossWeb EX pourrait avoir facilité l’accès initial des attaquants. Un avis de sécurité avait auparavant confirmé une vulnérabilité dans ce logiciel de sécurité financière. L’enquête a ensuite permis de reconstituer une chaîne d’infection comprenant plusieurs charges utiles et des techniques destinées à dissimuler l’activité malveillante.

Deux outils inédits complètent les versions mises à jour des logiciels déjà associés à Lazarus. TouchHub et ClientHub installent des programmes supplémentaires, exécutent des commandes sur les ordinateurs infectés et communiquent avec les opérateurs. L’un de ces outils existe dans une variante qui utilise Dropbox pour échanger avec les attaquants. La campagne emploie également une nouvelle version de LPEClient. Cet outil collecte des informations sur les systèmes infectés et déploie des charges utiles additionnelles. Sa version révisée recense les solutions de sécurité installées, les protections intégrées à Windows et d’autres caractéristiques du système. Elle compresse et chiffre ensuite ces données avant leur transmission.

LPEClient adopte ML-KEM-1024

Le chiffrement post-quantique constitue un autre élément notable de cette version de LPEClient. Le logiciel intègre ML-KEM-1024 pour établir une connexion chiffrée avec le serveur des attaquants. Il télécharge ensuite d’autres logiciels malveillants et les exécute directement en mémoire. L’outil tente aussi de contourner la surveillance de sécurité. Il modifie les protections de la mémoire et désactive les crochets d’analyse utilisés par les solutions de sécurité. Sojun Ryu, chercheur senior chez Kaspersky, indique que l’utilisation de ce mécanisme remonte au moins à septembre 2024. Cette datation place cette capacité plus d’un an avant la présentation publique de ces conclusions.

Kaspersky recommande de former les collaborateurs à la détection du hameçonnage ciblé. Les organisations doivent vérifier les courriels et les liens inattendus, y compris ceux qui renvoient vers des sites professionnels convaincants. Elles doivent signaler les messages suspects à leur équipe de sécurité. Le maintien à jour des logiciels et l’application rapide des correctifs figurent aussi parmi les mesures proposées. Kaspersky conseille enfin d’évaluer régulièrement les vulnérabilités des applications critiques, de désactiver les composants inutiles et de réduire les privilèges des utilisateurs. La surveillance des connexions aux services infonuagiques peut également limiter leur détournement à des fins de commande et de contrôle. (Rapport complet)