Lazarus Grubu, Güney Kore Güvenlik Yazılımlarını Kuantum Sonrası Şifreleme ile Kötüye Kullanıyor

Lazarus Grubu, Güney Kore Güvenlik Yazılımlarını Kuantum Sonrası Şifreleme ile Kötüye Kullanıyor

Kuzey Kore bağlantılı Lazarus Grubu, Güney Kore’deki inşaat, yazılım ve kablolu iletişim ekipmanı üretim sektörlerinde faaliyet gösteren en az üç kuruluşu hedef alan Operation FlashHole adlı siber casusluk kampanyasının arkasındaki güç olarak belirlendi.

Rus siber güvenlik şirketi Kaspersky’ye göre, bu kampanya en az Temmuz 2025’ten beri aktif ve Operation SyncHole’un kaldığı yerden devam ettiği düşünülüyor.

Kaspersky GReAT kıdemli güvenlik araştırmacısı Sojun Ryu, kapsamlı bir analizde, “Grup, kurbanları daha seçici bir şekilde hedef aldı, her hedefe özel olarak hazırlanmış portföy ve özgeçmiş sayfaları gibi sahte ancak ilgili sitelere bağlantılar içeren oltalama e-postaları gönderdi” dedi.

Operation SyncHole, ilk olarak Nisan 2025’te Kaspersky tarafından belgelendi. Bu operasyonda, devlet destekli düşmanın Kasım 2024’ten bu yana Güney Kore’nin yazılım, BT, finans, yarı iletken üretimi ve telekomünikasyon endüstrilerini hedef alarak ThreatNeedle, AGAMEMNON, wAgent, SIGNBT ve COPPERHEDGE gibi kötü amaçlı yazılımları dağıttığı detaylandırıldı.

Saldırılar, kötü amaçlı yazılım dağıtımı için iniLINE Cross EX’teki bir güvenlik açığının istismarı ile karakterize edildi. Cross EX, Güney Koreli internet kullanıcılarının çevrimiçi bankacılık ve devlet hizmetlerine erişirken çeşitli tarayıcı ortamlarında güvenlik yazılımlarını desteklemek için bilgisayarlarına yüklemeleri gereken zorunlu bir finansal güvenlik yazılımıdır.

İstismar, meşru “SyncHost.exe” sürecini başlatmak ve ThreatNeedle arka kapısını yüklemek için içine shellcode enjekte etmek üzere tasarlandı. Saldırı zinciri ayrıca, yanal hareket için Innorix Agent dosya transfer çözümü sürüm 9.2.18.496’daki bir günlük açığı da içeriyordu.

Operation FlashHole ve INISAFE CrossWeb EX İstismarı

Operation FlashHole, önceki dalganın Güney Kore odaklı yazılımları hedef alarak hedeflere sızma stratejisini sürdürüyor. SyncHole, Cross EX’i istismar ederken, FlashHole’un Initech’in INISAFE CrossWeb EX’ini kötüye kullandığı tespit edildi. Bu da ülkede çevrimiçi bankacılık ve devlet portallarına erişim için gerekli olan başka bir zorunlu finansal güvenlik çözümüdür.

iniLINE’ın web sitesine göre, şirket 2010 yılında Initech ile CrossWeb’i geliştirmek için stratejik bir ittifak kurdu. Şu anda Initech tarafından sertifika tabanlı bir kimlik doğrulama ve elektronik imza çözümü olarak pazarlanmaktadır.

Lazarus Grubu’nun bu yazılımı hedeflerine ulaşmak için kötüye kullanma konusunda uzun bir geçmişi var. 2021’in üçüncü çeyreğinde, DeathNote adlı uzun süreli bir kampanya ile bağlantılı olarak Racket adlı bir indirici dağıtmak için kullanıldı.

2022 ve 2023 yılları arasında AhnLab, tehdit aktörünün DLL kötü amaçlı yazılımı (“SCSKAppLink.dll”) su birikintisi saldırıları yoluyla dağıtmak için yazılımdaki bir güvenlik açığını istismar ettiği saldırıları da açıkladı. DLL yükü, tehdit aktörü tarafından ele geçirilen IIS web sunucularından alındı.

AhnLab, Temmuz 2023 tarihli bir raporda, “Grup ilk olarak Kore web sitelerini hackler ve siteden sağlanan içeriği değiştirir” dedi. “INISAFE CrossWeb EX V6’nın savunmasız bir sürümünü kullanan bir sistem, bir web tarayıcısı aracılığıyla bu web sitesini ziyaret ettiğinde, Lazarus kötü amaçlı yazılımı (SCSKAppLink.dll) INISAFECrossWebEXSvc.exe güvenlik açığı aracılığıyla dağıtım sitesinden yüklenir.”

Saldırı Zinciri ve Gelişmiş Teknikler

Bulgular ayrıca, Kore İnternet ve Güvenlik Ajansı (KISA) ve yerel siber güvenlik satıcıları tarafından Temmuz 2026’da yayınlanan ortak bir uyarıya dayanıyor. Bu uyarı, Lazarus Grubu’nun AnySign4PC gibi finansal güvenlik programlarındaki güvenlik açıklarını istismar ederek, oltalama ve su birikintisi teknikleriyle kurbanları kötü amaçlı URL’leri ziyaret etmeye ikna ettikten sonra Struggle (diğer adıyla SIGNBT 3.0) ve Brandoor (diğer adıyla COPPERHEDGE) gibi arka kapıları dağıttığını vurguluyor.

AhnLab, kampanyayı Operation Double Barrel olarak adlandırarak, “Saldırganlar, su birikintisi ve oltalama saldırıları dahil olmak üzere çeşitli yöntemlerle hedefleri kötü amaçlı URL’lere erişmeye ikna etti ve ardından arka kapı kötü amaçlı yazılımını nihayetinde yüklemek için güvenlik açıklarını istismar etti” dedi.

FlashHole için kesin ilk erişim vektörü belirsiz, ancak işaretler GitHub sayfalarında barındırılan kötü amaçlı web sitelerine işaret ediyor. Bu sitelerden birinin, muhtemelen yapay zeka (AI) kullanılarak oluşturulmuş bir profil fotoğrafı ile birlikte kıdemli bir ağ cihazı geliştiricisinin özgeçmişini barındırdığı belirtiliyor.

Hedeflere, kötü amaçlı siteye bağlantılar içeren oltalama e-postaları gönderildiği ve bu siteyi ziyaret etmenin, CrossWeb EX’i içeren bir enfeksiyon dizisini tetikleyerek meşru Windows ikili dosyası “fsquirt.exe”yi başlattığı ve ardından DLL yan yüklemesi yoluyla TechHub adlı kötü amaçlı bir DLL’yi başlatmak için kullanıldığı düşünülüyor.

Kaspersky, “Enfeksiyon zinciri oldukça karmaşık ve Lazarus Grubu’nun hedeflenen ana bilgisayarlardaki gelişmiş operasyonel tekniklerini ortaya koyuyor” dedi. “Bu teknikler, kötü amaçlı yüklerini, niyetlerini ve sofistike kötü amaçlı yazılım dağıtım çerçevelerini gizliyor.”

“Önemli olarak, aşağıdaki yürütme zinciri, ilk sızma sırasında yalnızca bellekte bulunur ve saldırganların ilk sızmayı gizlemek için gösterdiği önemli çabaları vurgular.”

TechHub ise, GitHub’dan TouchHub adlı bir kötü amaçlı yazılım indirir. Bu yazılım, ikinci bir DLL yan yüklemesini kullanarak TOUCHSHIFT (“mscoree.dll”) adlı kötü amaçlı bir DLL yükünü başlatarak, başka bir TechHub örneğinin bellek içi yürütülmesini başlatarak kalıcılık sağlar.

Kötü Amaçlı Yazılım Araç Seti Detayları

Bu ikinci TechHub örneği, ClientHub adlı başka bir kötü amaçlı yazılım ailesini alarak LPEClient’i belleğe yükler. LPEClient, çeşitli eklentileri, modülleri ve araçları almak için tasarlanmış kötü amaçlı yazılım çerçevesinin orkestrasyon bileşeni olan Cubridge için bir kanal görevi görür.

Kötü amaçlı yazılım araç seti hakkında ek detaylar şunlardır:

• TechHub: CLOUDBURST ve NickelLoader indiricisinin gelişmiş bir sürümüdür. GitHub ile iletişim kurarak TouchHub ve ClientHub gibi ek yükleri alır, ayrıca cihaz ve çalışan süreçler hakkında bilgi toplar.
• Cubridge: SIDESHOW ve LightlessCan’in geliştirilmiş bir sürümüdür. Bir komuta ve kontrol (C2) sunucusuyla iletişim kurabilir ve yeniden kullanılabilir eklentiler, tek seferlik görevler için DLL yardımcı programları ve işlevselliğini genişletmek için ek modüller indirebilir. Bu sayede kapsamlı sistem bilgileri toplayabilir, komutlar çalıştırabilir ve dosyaları ve web tarayıcı verilerini çalabilir. Ayrıca CookiePlus’ın gelişmiş bir sürümü olduğu da değerlendirilmektedir.
• TouchHub: TouchShift için ana yükleyicidir.
• TouchShift: Keylogger’lar, ekran görüntüsü yardımcı programları ve arka kapılar dağıtabilen bir kötü amaçlı yazılım bırakıcısıdır.
• ClientHub: Daha önce belgelenmemiş bir arka kapıdır. İki sürümü vardır: biri HTTPS kullanarak saldırgan tarafından kontrol edilen bir sunucuyla iletişim kurar, diğeri ise Dropbox API ile etkileşime girer. Kötü amaçlı yazılımın nihai amacı, ek eklentiler ve DLL’ler dağıtmaktır. Eklentiler, kötü amaçlı yazılımın ZIP arşivleri oluşturmasına, arama desenine uyan dosyaları toplamasına, belirli dosyaları silmesine ve yerel sürücü değişikliklerini izlemesine ve toplanan durum bilgilerini döndürmesine olanak tanır.
• LPEClient: 2019’dan beri kullanılan uzun süreli bir kurban profilleme ve yük dağıtım aracıdır.

Ağustos 2026’da Check Point, LPEClient’in, Windows Ancillary Function Driver for WinSock’u etkileyen bir ayrıcalık yükseltme açığı olan CVE-2026-68820’nin sıfır gün istismarının ardından FudModule rootkit’ini dağıtmak için kullanıldığını ortaya koydu.

Kuantum Sonrası Şifreleme Kullanımı ve Geniş Kapsamlı Kampanya

Kötü amaçlı yazılımın en son sürümünde dikkat çekici olan, ML-KEM-1024 adlı kuantum sonrası bir kriptografik algoritma kullanarak saldırganların sunucusuyla şifreli bir bağlantı kurması ve ardından ek kötü amaçlı yazılımları doğrudan belleğe indirip çalıştırmasıdır.

Kaspersky, “Operation FlashHole, ülkeyi hedef alan kötü amaçlı yazılımları dağıtmak için Güney Kore yazılımlarının potansiyel bir giriş noktası olarak kullanılmasını içeren daha geniş Cascade Hole kampanyasının en son dalgasıdır” dedi.

Siber güvenlik şirketi, Operation FlashHole’un ortaya çıkışının, COPPERHEDGE arka kapısını kullanarak çeşitli Güney Koreli kuruluşları hedef alan yeni bir saldırı dalgasıyla aynı zamana denk geldiğini belirtti. En az bir vakada, arka kapı enfeksiyonunun, aynı dönemde Güney Koreli kuruluşlara yönelik Gunra fidye yazılımı saldırılarına benzer şekilde, ULOSE adlı bir dark web sızıntı sitesine veri sızdırılmasıyla sonuçlandığı söyleniyor.

Ryu, The Hacker News ile paylaşılan bir açıklamada, “Lazarus, operasyonlarını genişletmeye devam ediyor, yeni kampanyalar başlatıyor ve ihtiyaçlarını karşılamak için yeni araçlar sunarken tanıdık olanları yeniden düzenliyor” dedi.

“Daha yakından dikkat edilmesi gereken şey, Lazarus’un gelecekteki kuantum tehditlerine dayanacak şekilde tasarlanmış kriptografiyi benimsemesidir. Bulgularımız, bunun kullanımını en az Eylül 2024’e kadar takip ediyor ve bu yeteneklerin, bu açıklanmadan bir yıldan fazla bir süre önce grubun kötü amaçlı yazılım iletişimlerini zaten koruduğunu gösteriyor.”