Lazarus Grubu, Güney Kore'nin Zorunlu Bankacılık Yazılımını Kullanarak Kuantum Sonrası Şifreli Zararlı Yazılım Dağıtıyor

Kuzey Kore bağlantılı tehdit aktörü Lazarus Grubu, Güney Kore'ye yönelik siber casusluk faaliyetlerini yeni bir kampanya çerçevesinde sürdürüyor. Rus siber güvenlik şirketi Kaspersky'nin araştırmacıları tarafından 'Operation FlashHole' olarak adlandırılan bu kampanya, en az üç Güney Koreli kuruluşu hedef alıyor: inşaat, yazılım ve kablolu iletişim ekipmanı üretimi sektörlerinden birer şirket. Kaspersky'ye göre kampanya en az Temmuz 2025'ten bu yana aktif durumda.
Araştırmacılar, FlashHole'un daha önce belgelenen Operation SyncHole'un devamı niteliğinde olduğunu değerlendiriyor. Nisan 2025'te yine Kaspersky tarafından kamuoyuyla paylaşılan SyncHole, Kasım 2024'ten itibaren Güney Kore'nin yazılım, BT, finans, yarı iletken üretimi ve telekomünikasyon sektörlerini hedef alan ve ThreatNeedle, AGAMEMNON, wAgent, SIGNBT ile COPPERHEDGE gibi zararlı yazılımlar dağıtan bir kampanyaydı. SyncHole'da iniLINE Cross EX adlı güvenlik yazılımındaki bir açık istismar edilmişti. FlashHole'da ise bu kez Initech'in geliştirdiği INISAFE CrossWeb EX devreye giriyor.

INISAFE CrossWeb EX Neden Hedef Alındı?​

INISAFE CrossWeb EX, Güney Koreli internet kullanıcılarının çevrimiçi bankacılık ve devlet portallarına erişebilmesi için bilgisayarlarına yüklemeleri zorunlu tutulan bir finansal güvenlik çözümü. Initech tarafından sertifika tabanlı kimlik doğrulama ve elektronik imza çözümü olarak pazarlanan bu yazılım, iniLINE ile Initech arasında 2010 yılında imzalanan stratejik bir iş birliğinin ürünü.
Lazarus Grubu'nun bu yazılımı kötüye kullanma geçmişi oldukça eskiye dayanıyor. 2021'in üçüncü çeyreğinde yazılım, DeathNote adlı uzun soluklu bir kampanya kapsamında 'Racket' adlı bir indirici dağıtmak için kullanılmıştı. AhnLab ise 2022-2023 döneminde tehdit aktörünün INISAFE CrossWeb EX'teki bir güvenlik açığını sulama deliği saldırılarıyla birleştirerek 'SCSKAppLink.dll' adlı bir DLL zararlı yazılımını dağıttığını raporlamıştı. Temmuz 2026'da ise Kore İnternet ve Güvenlik Ajansı (KISA) ile yerli siber güvenlik firmalarının ortak bir danışma belgesi yayımladığı bildirildi; bu belgede Lazarus Grubu'nun AnySign4PC gibi finansal güvenlik programlarındaki açıkları kullanarak Struggle ve Brandoor gibi arka kapılar dağıttığı, söz konusu kampanyanın 'Operation Double Barrel' olarak adlandırıldığı aktarıldı.

Karmaşık Enfeksiyon Zinciri ve Bellek İçi Yürütme​

FlashHole'un ilk erişim vektörü tam olarak netleşmemiş olmakla birlikte, mevcut bulgular GitHub sayfalarında barındırılan kötü amaçlı web sitelerine işaret ediyor. Bu sitelerden birinde yapay zeka ile oluşturulduğu değerlendirilen bir profil fotoğrafıyla birlikte kıdemli bir ağ cihazı geliştiricisine ait olduğu iddia edilen bir özgeçmiş yayımlanmıştı. Araştırmacılar, hedeflerin bu sitelere yönlendiren spear-phishing e-postaları aldığını tahmin ediyor.
Kaspersky'ye göre siteyi ziyaret eden kurban, CrossWeb EX aracılığıyla meşru Windows ikili dosyası 'fsquirt.exe'yi tetikleyen bir enfeksiyon zincirine maruz kalıyor. Bu dosya, DLL sideloading yöntemiyle 'TechHub' adlı kötü amaçlı bir DLL'i yüklüyor. TechHub, GitHub'dan 'TouchHub' adlı bir zararlı yazılım indiriyor; TouchHub ise ikinci bir DLL sideloading işlemiyle 'TOUCHSHIFT' (mscoree.dll) adlı bir DLL yükünü çalıştırıyor. TOUCHSHIFT, bellekte yeni bir TechHub örneği başlatarak kalıcılık sağlıyor. Bu ikinci TechHub örneği, 'ClientHub' adlı başka bir zararlı yazılım ailesini alıyor ve belleğe 'LPEClient' yüklüyor. LPEClient ise çeşitli eklentiler, modüller ve araçlar çeken orkestrasyon bileşeni 'Cubridge'e köprü görevi görüyor. Kaspersky, ilk sızma sırasında bu yürütme zincirinin yalnızca bellekte var olduğunu vurgulayarak saldırganların ilk ele geçirmeyi gizlemeye verdikleri önemi özellikle belirtiyor.

Yeni Zararlı Yazılım Araç Seti: TechHub'dan Cubridge'e​

Kampanyada kullanılan zararlı yazılım araç seti birden fazla bileşenden oluşuyor. TechHub, CLOUDBURST ve NickelLoader indiricilerinin gelişmiş bir versiyonu olarak tanımlanıyor; GitHub ile iletişim kurarak TouchHub ve ClientHub gibi ek yükler indiriyor ve cihaz ile çalışan süreçler hakkında bilgi topluyor. Cubridge, SIDESHOW ve LightlessCan'ın geliştirilmiş bir versiyonu; komuta-kontrol (C2) sunucusuyla iletişim kurarak yeniden kullanılabilir eklentiler ve ek modüller indiriyor, sistem bilgisi toplama, komut çalıştırma ile dosya ve tarayıcı verisi çalma gibi işlevlere sahip. Aynı zamanda CookiePlus'ın gelişmiş bir versiyonu olarak da değerlendiriliyor.
ClientHub, daha önce belgelenmemiş bir arka kapı olarak öne çıkıyor; biri HTTPS üzerinden saldırgan kontrolündeki bir sunucuyla, diğeri Dropbox API'siyle iletişim kuran iki farklı sürümü mevcut. TouchShift ise keylogger, ekran görüntüsü yardımcı programları ve arka kapılar dahil çeşitli yükler dağıtabilen bir zararlı yazılım damlalığı. LPEClient, 2019'dan bu yana kullanılan uzun süreli bir kurban profilleme ve yük dağıtım aracı olmayı sürdürüyor. Eklentiler; ZIP arşivi oluşturma, belirli bir arama kalıbıyla eşleşen dosyaları toplama, belirli dosyaları silme ve yerel sürücü değişikliklerini izleyerek durum bilgisi döndürme gibi işlevler sunuyor.

Kuantum Sonrası Kriptografi: ML-KEM-1024'ün Kullanımı​

Kampanyada dikkat çeken en kritik teknik yenilik, LPEClient'ın en son sürümünün ML-KEM-1024 adlı kuantum sonrası kriptografik algoritmayı kullanması. Zararlı yazılım, ek yükler indirmeden ve bunları doğrudan bellekte çalıştırmadan önce bu algoritma aracılığıyla saldırganların sunucusuyla şifreli bir bağlantı kuruyor. Kaspersky GReAT kıdemli güvenlik araştırmacısı Sojun Ryu, bu kullanımın en az Eylül 2024'e kadar izlenebildiğini belirterek söz konusu yeteneklerin bu açıklamadan bir yılı aşkın süre önce grubun zararlı yazılım iletişimlerini zaten koruduğunu vurguladı.
Kaspersky, FlashHole'u COPPERHEDGE arka kapısını kullanan yeni bir saldırı dalgasıyla eş zamanlı ortaya çıktığını da aktarıyor. En az bir vakada bu arka kapı enfeksiyonunun, aynı dönemde Güney Koreli kuruluşlara yönelik Gunra fidye yazılımı saldırılarıyla benzer biçimde 'ULOSE' adlı bir karanlık web sızıntı sitesine veri sızdırılmasıyla sonuçlandığı belirtiliyor. Kaspersky, FlashHole'u, Güney Kore yazılımlarının potansiyel giriş noktası olarak kullanıldığı daha geniş kapsamlı 'Cascade Hole' kampanyasının en son halkası olarak tanımlıyor.

Sıkça Sorulan Sorular​

Operation FlashHole hangi sektörleri ve kaç kuruluşu hedef aldı?​

Kaspersky'nin bulgularına göre Operation FlashHole, Güney Kore'de inşaat, yazılım ve kablolu iletişim ekipmanı üretimi sektörlerinde faaliyet gösteren en az üç kuruluşu hedef aldı.

INISAFE CrossWeb EX nedir ve neden saldırılarda kullanıldı?​

INISAFE CrossWeb EX, Güney Koreli kullanıcıların çevrimiçi bankacılık ve devlet portallarına erişebilmesi için bilgisayarlarına yüklemeleri zorunlu tutulan bir finansal güvenlik yazılımıdır. Lazarus Grubu'nun bu yazılımı kötüye kullanma geçmişi 2021'e kadar uzanmakta olup yazılımın geniş kullanıcı tabanı onu cazip bir saldırı vektörü hâline getiriyor.

ML-KEM-1024 algoritması bu kampanyada ne amaçla kullanıldı?​

ML-KEM-1024, kuantum sonrası kriptografik bir algoritma olup LPEClient zararlı yazılımının en son sürümünde ek yükler indirmeden önce saldırganların sunucusuyla şifreli bağlantı kurmak amacıyla kullanıldı. Kaspersky, bu kullanımın en az Eylül 2024'e kadar izlenebildiğini açıkladı.

Operation FlashHole ile Operation SyncHole arasındaki ilişki nedir?​

Kaspersky araştırmacıları, FlashHole'un SyncHole'un kaldığı yerden devam ettiğini değerlendiriyor. SyncHole, Kasım 2024'ten itibaren aktif olan ve iniLINE Cross EX açığını kullanan bir kampanyaydı; FlashHole ise benzer bir yaklaşımla bu kez INISAFE CrossWeb EX'i kötüye kullanıyor ve her ikisi de daha geniş 'Cascade Hole' kampanyasının parçası olarak tanımlanıyor.

ClientHub zararlı yazılımı daha önce belgelenmiş miydi?​

Kaspersky'nin raporuna göre ClientHub, daha önce belgelenmemiş bir arka kapı olarak öne çıkıyor. Biri HTTPS üzerinden saldırgan kontrolündeki bir sunucuyla, diğeri Dropbox API'siyle iletişim kuran iki farklı sürümü bulunuyor ve temel amacı ek eklentiler ile DLL'ler indirip yüklemek.