Kaspersky, Yapay Zeka ve Kuantum Sonrası Şifreleme Kullanan Lazarus Saldırısını Ortaya Çıkardı

Lazarus Grubu Tarafından Yürütülen Operation FlashHole

Kaspersky’nin Global Araştırma ve Analiz Ekibi (GReAT), Endonezya’nın Bali kentinde düzenlenen Security Analyst Summit’te, Lazarus APT grubuyla ilişkilendirilen yeni bir siber casusluk kampanyası olan Operation FlashHole’a ilişkin bulgularını açıkladı. Temmuz 2025’ten bu yana aktif olan kampanya, Güney Kore’de inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerinde faaliyet gösteren en az üç kuruluşu etkiledi.

Saldırganlar, hedef odaklı oltalama e-postalarından ve meşru CrossWeb EX yazılımından yararlanırken, daha önce belgelenmemiş araçların da aralarında bulunduğu güncellenmiş zararlı yazılımları devreye aldı. Araştırma bulguları, Lazarus’un araç ve tekniklerini zaman içinde geliştirerek faaliyetini çok daha kalıcı ve gelişmiş bir yapıya kavuşturduğunu ortaya koymaktadır.

İlk Sızma Vektörü ve Hazırlama Aşaması

Araştırmacılar, harekât kapsamında komuta ve kontrol (C2) kanalı olarak istismar edilen bir GitHub hesabıyla bağlantılı bir GitHub Pages web sitesi keşfetti. Eylül 2025’te açılan bu hesap, başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte bir özgeçmiş sitesine ev sahipliği yapıyordu. Sayfada yer alan yapay zeka ile üretilmiş bir portre fotoğrafı, saldırganların siteleri hedeflere özel uyarlarken yapay zekadan yararlandığını göstermektedir.

Harekât, hedef alınan kişilere özel olarak kurgulanmış portföy ve özgeçmiş sitelerine yönlendiren bağlantıların yer aldığı hedefli oltalama e-postalarıyla başlatıldı. Bu yaklaşım, Lazarus’un uzun süredir kullandığı Operation DreamJob adlı iş arama temalı imza kampanyasıyla birebir örtüşmektedir.

CrossWeb EX Yazılımı Aracılığıyla İlk Erişim

Araştırma bulguları, kötü amaçlı sitenin ziyaret edilmesinin, Güney Kore’de yaygın olarak kullanılan bir güvenlik eklentisi ve web kimlik doğrulama yazılımı olan CrossWeb EX üzerinden bir bulaşma zincirini tetikleme ihtimalinin oldukça yüksek olduğunu göstermektedir.

Saldırı faaliyetinin, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve saldırganlara ilk sızma noktasını sağlamış olabileceği değerlendirilmektedir. Daha önceden de söz konusu finansal güvenlik yazılımında bir zafiyet bulunduğunu doğrulayan bir güvenlik bildirimi yayımlanmıştı.

Sofistike Zararlı Yazılım Dağıtım Altyapısı

Kapsamlı analizler neticesinde çok sayıda zararlı yükü (payload) tespit eden araştırmacılar, bulaşma zincirini yeniden yapılandırarak sofistike bir zararlı yazılım dağıtım altyapısını ve hedef sistemlerdeki izleri gizlemeye yarayan gelişmiş teknikleri gün yüzüne çıkardı.

Saldırganlar, mevcut zararlı yazılımlarının güncel sürümlerini daha önce belgelenmemiş iki yeni araçla —TouchHub ve ClientHub— harmanladı. Bu bileşenler şu işlevleri yerine getirmektedir:

• Hedeflenen bilgisayarlara ilave zararlı yazılımlar yükleme
• Komutları uzaktan çalıştırma
• Saldırganlarla iletişimin sürdürülmesi

Yeni araçlardan birinin, operatörleriyle iletişim kurmak için Dropbox platformundan yararlanan bir varyantı da tespit edilmiştir.

İleri Teknoloji Araçları ve Sistem Gözleme

Kampanyada ayrıca, Lazarus grubunun uzun süredir kullandığı LPEClient aracının güncellenmiş bir sürümüne rastlandı. Bu araç, ele geçirilen bilgisayarlar hakkında bilgi toplayarak ek zararlı yazılımlar yüklemektedir.

Yeni sürüm; sistemlerde yüklü güvenlik yazılımları, Windows güvenlik koruma mekanizmaları ve diğer sistem bilgilerini toplayarak, saldırganların hedef ortamı daha detaylı şekilde kavrayabilmesini sağlamaktadır. Bu bilgi toplama faaliyeti, ileriki saldırı aşamalarının en etkili şekilde hayata geçirilmesi için kullanılmaktadır.