À l'occasion du Security Analyst Summit à Bali, en Indonésie, l'équipe mondiale de recherche et d'analyse de Kaspersky (GReAT) a présenté ses conclusions sur la campagne de cyberespionnage Operation FlashHole, attribuée au groupe APT Lazarus. Active depuis au moins juillet 2025, cette campagne a déjà ciblé au moins trois organisations en Corée du Sud dans les secteurs de la construction, des logiciels et de la fabrication d'équipements de télécommunication. Les attaquants ont eu recours au spear-phishing, à l'exploitation du logiciel légitime CrossWeb EX ainsi qu'au déploiement de logiciels malveillants mis à jour, incluant des outils jusqu'alors non documentés.
L'équipe GReAT a mis au jour une nouvelle vague d'attaques liée à l'opération SyncHole de Lazarus, découverte l'année dernière. Les cybercriminels ont depuis perfectionné leurs outils et techniques, rendant la campagne encore plus persistante et sophistiquée.
Dans le cadre de cette investigation, les chercheurs ont découvert un site web hébergé sur GitHub Pages et associé à un compte GitHub servant de canal de commande et de contrôle (C2). Créé en septembre 2025, ce compte hébergeait initialement un site présentant le CV d'un soi-disant développeur senior en équipements réseau, un leurre caractéristique de l'opération DreamJob, la campagne signature de Lazarus axée sur de fausses offres d'emploi. La page intégrait notamment une photo générée par IA du candidat fictif. Les chercheurs de Kaspersky estiment que les attaquants ont également utilisé l'IA pour personnaliser ces sites frauduleux selon leurs cibles. La campagne a débuté par des e-mails de spear-phishing contenant des liens vers ces faux portfolios et CV sur mesure.
Les résultats des recherches mettent en évidence une forte probabilité que la consultation du site malveillant ait déclenché un processus d'infection impliquant le logiciel CrossWeb EX, un module de sécurité et d'authentification web très répandu en Corée du Sud. Cette activité malveillante pourrait avoir été facilitée par une vulnérabilité au sein de CrossWeb EX, fournissant ainsi un point d'accès initial aux attaquants. Un avis de sécurité avait d'ailleurs été publié auparavant, confirmant l'existence d'une vulnérabilité dans ce logiciel de sécurité financière. Grâce à une analyse approfondie, les chercheurs ont identifié plusieurs charges utiles malveillantes et reconstitué la chaîne d'infection, révélant un cadre de distribution de malwares particulièrement sophistiqué ainsi que des techniques avancées pour dissimuler l'activité malveillante sur les systèmes ciblés.
Les attaquants ont combiné
des versions mises à jour de leurs malwares existants avec deux outils inédits
: TouchHub et ClientHub.
Ces composants installent des malwares supplémentaires, exécutent des commandes
sur les ordinateurs infectés et communiquent avec les attaquants à des fins de
cyberespionnage. L'un de ces nouveaux outils dispose notamment d'une variante
exploitant Dropbox pour communiquer avec ses opérateurs.
La campagne s'appuie également sur une version mise à jour de LPEClient, un outil utilisé depuis longtemps par Lazarus pour collecter des informations sur les systèmes infectés et déployer des charges utiles additionnelles. Cette nouvelle version extrait des détails sur les solutions de sécurité installées, les protections intégrées à Windows et d'autres caractéristiques du système, puis compresse et chiffre ces données avant de les transmettre aux attaquants.
Cette version révisée de LPEClient intègre également ML-KEM-1024, un mécanisme de chiffrement post-quantique conçu pour protéger les communications contre d'éventuelles attaques menées par de futurs ordinateurs quantiques. Il utilise ce mécanisme pour établir une connexion chiffrée avec le serveur des attaquants avant de télécharger et d'exécuter d'autres malwares directement en mémoire. Afin d'échapper aux détections, l'outil tente également de contourner la surveillance de sécurité en modifiant les protections de la mémoire et en désactivant les crochets d'analyse (monitoring hooks) employés par les solutions de sécurité pour repérer les activités suspectes.
« Lazarus continue d'étendre le champ de ses opérations en lançant de nouvelles campagnes tout en introduisant de nouveaux outils et en remaniant ses arsenaux habituels pour répondre à ses besoins. Notre analyse de l'opération FlashHole, combinée aux preuves de nos enquêtes précédentes, indique que le groupe intègre désormais l'IA à ses méthodes traditionnelles, une tendance également observée chez d'autres acteurs de la menace affiliés à Lazarus. Ce qui mérite une attention particulière, c'est l'adoption par Lazarus d'un chiffrement conçu pour résister aux futures menaces quantiques. Nos découvertes font remonter son utilisation au moins jusqu'à septembre 2024, démontrant que ces capacités protégeaient déjà les communications malveillantes du groupe plus d'un an avant cette révélation », déclare Sojun Ryu, chercheur senior en sécurité au sein de l'équipe GReAT de Kaspersky.
Le rapport complet est disponible sur Securelist.com.
Pour se protéger contre les attaques de Lazarus et les campagnes telles que FlashHole, il est recommandé aux organisations de suivre ces bonnes pratiques :
- Sensibiliser et former les collaborateurs à la détection des tentatives de phishing ciblé. Vérifier les e-mails et liens inattendus, même lorsqu'ils renvoient vers des sites professionnels convaincants, et signaler tout message suspect à l'équipe de sécurité.
- Maintenir les logiciels à jour et appliquer rapidement les correctifs de sécurité. Évaluer régulièrement les vulnérabilités des applications critiques pour l'entreprise et désactiver les composants inutiles afin de réduire la surface d'attaque.
- Restreindre les privilèges des utilisateurs et surveiller les connexions aux services cloud susceptibles d'être détournés à des fins de commande et contrôle (C2).
À propos de l'équipe Global Research & Analysis Team (GReAT)
Créée en 2008, l'équipe mondiale de recherche et d'analyse (GReAT) opère au cœur de Kaspersky pour traquer les menaces APT, les campagnes de cyberespionnage, les malwares majeurs, les ransomwares et les tendances du cybercrime à travers le monde. Aujourd'hui, l'équipe GReAT compte plus de 35 experts intervenant mondialement — en Europe, en Russie, en Amérique latine, en Asie et au Moyen-Orient. Ces spécialistes apportent au groupe leur expertise reconnue, leur passion et leur rigueur pour découvrir et analyser les cybermenaces les plus complexes.
À propos de Kaspersky
Kaspersky est une société internationale de cybersécurité et de protection de la vie privée numérique fondée en 1997. Pionnière dans le secteur grâce à son approche de « Cyber Immunité », Kaspersky protège les particuliers, les entreprises, les infrastructures critiques et les gouvernements contre les cybermenaces, avec plus d'un milliard d'appareils protégés à ce jour.
Kaspersky garantit une cybersécurité adaptée aux besoins des entreprises, en mettant l'accent sur l'obtention de résultats concrets, la protection du chiffre d'affaires, l'allègement de la charge de travail et la prévention des interruptions de service. Les connaissances approfondies de Kaspersky en matière de menaces et son expertise en sécurité se traduisent constamment par des solutions et des services innovants destinés aux organisations de toutes tailles, des petites entreprises aux grandes sociétés, combinant des technologies de protection éprouvées basées sur l'IA avec une gestion simple et un support expert.
Reconnue par des tests indépendants et bénéficiant de la confiance de millions de particuliers à travers le monde et de près de 200 000 organisations, Kaspersky aide à détecter les menaces plus tôt, à réagir plus rapidement et à opérer avec davantage de confiance et de liberté, en protégeant ce qui compte le plus pour nos clients. Pour en savoir plus, rendez-vous sur www.kaspersky.fr
