FlashHole è una campagna attribuita da Kaspersky al gruppo Lazarus, diretta contro almeno tre organizzazioni sudcoreane. Gli aggressori avrebbero usato profili professionali falsi e una possibile catena d’attacco legata a CrossWeb EX.
L’immagine di copertina mostra un diverso sito contraffatto individuato da Kaspersky e non è collegata a Operation FlashHole.
Operation FlashHole è una campagna di cyberspionaggio che, secondo il team GReAT di Kaspersky, è attiva almeno da luglio 2025. La ricerca collega l’operazione a Lazarus e segnala vittime in Corea del Sud nei settori delle costruzioni, del software e della produzione di apparecchiature per telecomunicazioni.
Falsi profili professionali come esca
Gli attacchi avrebbero sfruttato messaggi di spear phishing e pagine web costruite per sembrare profili di candidati o portfolio professionali. Kaspersky riferisce anche l’uso di immagini dei profili generate con l’intelligenza artificiale. L’obiettivo sarebbe stato spingere personale aziendale a visitare i siti o aprire i contenuti collegati alla candidatura.
I ricercatori hanno individuato un sito ospitato su GitHub Pages e collegato a un account GitHub usato come canale di comando e controllo. L’analisi indica inoltre l’impiego di strumenti aggiornati, tra cui varianti di TouchHub, ClientHub e LPEClient. In una variante di LPEClient, Kaspersky segnala l’uso di ML-KEM-1024, un algoritmo di crittografia post-quantistica: la presenza dell’algoritmo non implica l’uso di computer quantistici.
Il possibile ruolo di CrossWeb EX
Un elemento della ricerca riguarda CrossWeb EX, un componente legittimo di sicurezza e autenticazione online diffuso in Corea del Sud. Kaspersky ritiene possibile che la visita al sito malevolo abbia avviato una catena d’infezione collegata al software. La società parla di una possibile vulnerabilità o modalità d’abuso: i dettagli pubblici non consentono di considerare CrossWeb EX la causa accertata di ogni compromissione della campagna.
La ricostruzione è attribuita a Kaspersky e non rappresenta una conferma indipendente dell’identità degli operatori. L’attribuzione a Lazarus si basa sugli elementi tecnici raccolti dal team di ricerca.
Come ridurre il rischio
Le organizzazioni possono verificare con attenzione le candidature inattese, controllare il dominio prima di aprire portfolio e allegati e limitare l’esecuzione di componenti non necessari. I team di sicurezza dovrebbero inoltre verificare aggiornamenti e configurazioni dei software di autenticazione, monitorare connessioni in uscita verso servizi di hosting pubblici e conservare i log utili alle indagini.
La ricerca completa è disponibile nel comunicato Kaspersky su Operation FlashHole. Leggi anche gli aggiornamenti sui tag Kaspersky, phishing e cyberspionaggio.
