Lazarus Group lạm dụng phần mềm bảo mật Hàn Quốc để phát tán malware với mã hóa hậu lượng tử

Nhóm tin tặc Lazarus, tổ chức có liên hệ với Triều Tiên, vừa bị phát hiện đứng sau chiến dịch gián điệp mạng mới mang tên Operation FlashHole. Mục tiêu của chiến dịch này là các tổ chức trong lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc.

Theo báo cáo từ Kaspersky, chiến dịch này đã bắt đầu từ tháng 7/2025 và được xem là sự tiếp nối của chiến dịch Operation SyncHole trước đó. Lazarus tiếp tục nhắm mục tiêu một cách chọn lọc thông qua các email phishing tinh vi, dẫn dụ nạn nhân truy cập vào các trang web giả mạo được thiết kế riêng biệt cho từng đối tượng.

Khai thác phần mềm bảo mật nội địa

Điểm đáng chú ý trong phương thức tấn công của Lazarus là việc lạm dụng INISAFE CrossWeb EX – một phần mềm bảo mật bắt buộc phải cài đặt để truy cập các dịch vụ ngân hàng trực tuyến và cổng thông tin chính phủ tại Hàn Quốc. Việc khai thác các phần mềm bảo mật được tin cậy rộng rãi giúp nhóm này thực hiện các cuộc tấn công watering hole hiệu quả hơn.

Quy trình lây nhiễm thường bắt đầu bằng việc dẫn dụ người dùng truy cập các trang web độc hại (thường được lưu trữ trên GitHub). Khi truy cập, mã độc sẽ tận dụng lỗ hổng trong CrossWeb EX để thực thi file nhị phân hợp lệ của Windows fsquirt.exe, từ đó thực hiện kỹ thuật DLL sideloading để nạp payload độc hại có tên TechHub.

Hệ sinh thái malware phức tạp

Kaspersky cho biết chuỗi lây nhiễm của FlashHole cực kỳ phức tạp và được thiết kế để ẩn mình trong bộ nhớ (in-memory) nhằm tránh bị phát hiện. Hệ sinh thái malware của Lazarus trong chiến dịch này bao gồm nhiều thành phần tinh vi:

• TechHub: Công cụ downloader nâng cao, có khả năng thu thập thông tin hệ thống và tải xuống các payload khác.
• Cubridge: Thành phần điều phối chính, kết nối với C2 server để nhận lệnh, tải plugin và thực thi các tác vụ đánh cắp dữ liệu.
• TouchHub & TouchShift: Bộ đôi dropper dùng để cài đặt các backdoor, keylogger và công cụ chụp màn hình.
• ClientHub: Backdoor hỗ trợ giao thức HTTPS và API của Dropbox để duy trì kết nối và quản lý plugin.
• LPEClient: Công cụ định hình nạn nhân và phân phối payload đã được nhóm sử dụng từ năm 2019.

Ứng dụng mã hóa hậu lượng tử

Điểm đột phá nhất trong chiến dịch này là việc Lazarus đã tích hợp ML-KEM-1024, một thuật toán mã hóa hậu lượng tử, để bảo mật kết nối giữa malware và server của kẻ tấn công. Theo các chuyên gia, Lazarus đã bắt đầu thử nghiệm khả năng này từ tháng 9/2024, cho thấy sự chuẩn bị kỹ lưỡng của nhóm trước các xu hướng công nghệ bảo mật tương lai.

Các chuyên gia an ninh mạng khuyến cáo các tổ chức tại Hàn Quốc cần đặc biệt cảnh giác với các phần mềm bảo mật nội địa, thường xuyên cập nhật các bản patch mới nhất và kiểm soát chặt chẽ các luồng dữ liệu ra vào hệ thống để phòng tránh các cuộc tấn công từ nhóm Lazarus.

Nguồn tham khảo: The Hacker News