Kaspersky phát hiện Operation FlashHole, chiến dịch gián điệp mạng được cho là do nhóm Lazarus thực hiện tại Hàn Quốc. Nhóm này sử dụng email lừa đảo có chủ đích, hình ảnh do AI tạo và mã độc ứng dụng mật mã hậu lượng tử.
Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) của Kaspersky vừa công bố kết quả điều tra Operation FlashHole, chiến dịch gián điệp mạng được cho là do nhóm tấn công Lazarus APT thực hiện. Theo báo cáo, hoạt động này bắt đầu từ tháng 7/2025 và ảnh hưởng đến ít nhất 3 tổ chức trong lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc.
Chiến dịch sử dụng email lừa đảo có chủ đích để dụ nạn nhân truy cập các trang hồ sơ năng lực và CV giả mạo. Kẻ tấn công còn tận dụng phần mềm CrossWeb EX hợp pháp, kết hợp những phiên bản mã độc được cập nhật để xâm nhập và duy trì quyền kiểm soát hệ thống.
Dùng AI tạo hồ sơ giả để lừa nạn nhân
Trong quá trình điều tra, Kaspersky phát hiện một trang web trên GitHub Pages được liên kết với tài khoản GitHub dùng làm máy chủ điều khiển và kiểm soát (C2). Tài khoản này được tạo vào tháng 9/2025, ban đầu lưu trữ hồ sơ giả của một nhà phát triển thiết bị mạng cấp cao.
Trang web sử dụng hình ảnh do AI tạo ra để giả danh ứng viên tìm việc. Theo Kaspersky, kẻ tấn công có thể sử dụng AI để tùy chỉnh nội dung trang web theo từng mục tiêu, khiến các email và hồ sơ giả mạo trở nên thuyết phục hơn.
Các chuyên gia nhận định quá trình lây nhiễm có khả năng bắt đầu khi nạn nhân truy cập trang web độc hại và tương tác với phần mềm CrossWeb EX. Đây là phần mềm xác thực web và tiện ích bảo mật được sử dụng tại Hàn Quốc. Lỗ hổng trong phần mềm này có thể đã tạo điều kiện cho kẻ tấn công xâm nhập hệ thống.
Kaspersky cũng ghi nhận làn sóng tấn công mới liên quan đến Operation SyncHole, một chiến dịch khác của Lazarus. Theo hãng, nhóm này tiếp tục nâng cấp công cụ và kỹ thuật sau khi chiến dịch được phát hiện lần đầu vào năm trước.
Mã độc mới sử dụng mật mã hậu lượng tử
Trong Operation FlashHole, Lazarus kết hợp các phiên bản cập nhật của mã độc từng được sử dụng với hai công cụ mới mang tên TouchHub và ClientHub. Các công cụ này có khả năng cài thêm mã độc, thực thi lệnh trên máy tính bị xâm nhập và liên lạc với máy chủ của kẻ tấn công. Một biến thể còn sử dụng Dropbox làm kênh liên lạc.
Đáng chú ý, chiến dịch sử dụng phiên bản mới của LPEClient, công cụ được Lazarus dùng để thu thập thông tin hệ thống và tải thêm mã độc. Phiên bản này có thể kiểm tra phần mềm bảo mật, cơ chế phòng vệ của Windows và các đặc điểm của máy tính trước khi nén, mã hóa dữ liệu gửi về máy chủ điều khiển.
LPEClient còn ứng dụng ML-KEM-1024, cơ chế thiết lập khóa mật mã hậu lượng tử được thiết kế nhằm tăng khả năng bảo vệ thông tin liên lạc trước nguy cơ từ máy tính lượng tử trong tương lai.
Theo Kaspersky, công cụ sử dụng cơ chế này để thiết lập kết nối mã hóa với máy chủ của kẻ tấn công, sau đó tải và chạy mã độc trực tiếp trong bộ nhớ. Mã độc cũng tìm cách né tránh hệ thống giám sát bảo mật bằng cách thay đổi cơ chế bảo vệ bộ nhớ và vô hiệu hóa các điểm giám sát mà công cụ an ninh mạng sử dụng để phát hiện hoạt động đáng ngờ.
Ông Sojun Ryu, chuyên gia nghiên cứu bảo mật cấp cao tại Kaspersky GReAT, cho biết kết quả điều tra cho thấy Lazarus đã ứng dụng các phương pháp mật mã chống lại mối đe dọa lượng tử ít nhất từ tháng 9/2024. Điều này cho thấy việc nâng cấp kỹ thuật mã hóa của nhóm đã diễn ra trước khi Operation FlashHole được công bố.
Doanh nghiệp cần tăng cường phòng vệ
Để hạn chế nguy cơ từ các chiến dịch tương tự, Kaspersky khuyến nghị doanh nghiệp đào tạo nhân viên nhận diện email lừa đảo, thận trọng với đường dẫn bất ngờ và cập nhật phần mềm thường xuyên. Các tổ chức cũng cần rà soát lỗ hổng, hạn chế quyền truy cập của người dùng và giám sát những kết nối đến dịch vụ đám mây có thể bị lợi dụng làm máy chủ điều khiển.
Bên cạnh đó, doanh nghiệp nên tăng cường khả năng phát hiện, điều tra và ứng phó sự cố an ninh mạng, đồng thời xây dựng năng lực theo dõi thông tin tình báo về các mối đe dọa.
Báo cáo nghiên cứu đầy đủ về chiến dịch được Kaspersky đăng tải trên Securelist.
Phúc Nguyễn
