Lazarus Grubu, Güney Kore'nin Zorunlu Güvenlik Yazılımını Kullanarak Kuantum Sonrası Şifreli Zararlı Yazılım Yayıyor

Kuzey Kore ile ilişkilendirilen Lazarus Grubu, Güney Kore'yi hedef alan yeni bir siber casusluk operasyonuyla yeniden gündeme geldi. Rus siber güvenlik şirketi Kaspersky'nin yürüttüğü araştırmaya göre 'Operation FlashHole' adı verilen kampanya, en az Temmuz 2025'ten bu yana aktif olup inşaat, yazılım ve kablolu iletişim ekipmanı üretimi sektörlerindeki en az üç Güney Koreli kuruluşu etkiledi. Kampanyanın en dikkat çekici özelliği, saldırganların iletişimlerini korumak için ML-KEM-1024 adlı kuantum sonrası kriptografik algoritmayı kullanmasıdır.

Operation FlashHole, SyncHole'un Devamı Niteliğinde​

Kaspersky, FlashHole'un daha önce belgelediği Operation SyncHole'un devamı olduğunu değerlendiriyor. Nisan 2025'te kamuoyuyla paylaşılan SyncHole araştırması, Lazarus'un Kasım 2024'ten itibaren Güney Kore'nin yazılım, BT, finans, yarı iletken üretimi ve telekomünikasyon sektörlerini ThreatNeedle, AGAMEMNON, wAgent, SIGNBT ve COPPERHEDGE gibi zararlı yazılımlarla hedef aldığını ortaya koymuştu. O kampanyada saldırıların giriş noktası olarak iniLINE Cross EX adlı güvenlik yazılımındaki bir açık kullanılmıştı.
FlashHole ise bu sefer Initech'in INISAFE CrossWeb EX ürününü devreye sokuyor. Güney Koreli internet kullanıcılarının çevrimiçi bankacılık ve devlet portallarına erişebilmek için bilgisayarlarına yüklemek zorunda olduğu bu zorunlu finansal güvenlik çözümü, Lazarus'un uzun süredir istismar ettiği bir hedef. Kaspersky araştırmacısı Sojun Ryu, grubun kurbanları bu sefer daha seçici biçimde belirlediğini ve her hedefe özel portföy ile özgeçmiş sayfaları gibi inandırıcı görünen sahte sitelere bağlantılar içeren hedefli kimlik avı e-postaları gönderdiğini açıkladı.

Bulaşma Zinciri: Bellekte Çalışan Karmaşık Bir Yapı​

Saldırıların tam başlangıç vektörü henüz netlik kazanmamış olsa da bulgular, GitHub Pages üzerinde barındırılan kötü amaçlı web sitelerine işaret ediyor. Bu sitelerden birinin, yapay zeka ile oluşturulduğu değerlendirilen bir profil fotoğrafıyla birlikte kıdemli bir ağ cihazı geliştiricisinin özgeçmişini barındırdığı tespit edildi. Hedeflerin bu sitelere yönlendirilmek üzere kimlik avı e-postası aldığı düşünülüyor.
Ziyaret gerçekleştiğinde CrossWeb EX, meşru Windows ikili dosyası 'fsquirt.exe'yi başlatmak için tetikleniyor. Bu dosya aracılığıyla DLL sideloading tekniğiyle 'TechHub' adlı kötü amaçlı bir DLL yükleniyor. Kaspersky, bulaşma zincirinin başlangıç aşamasında yalnızca bellekte çalıştığını ve bu sayede saldırganların ilk sızmayı gizlemek için büyük çaba harcadığını vurguladı.
TechHub, GitHub'dan TouchHub adlı zararlı yazılımı indiriyor. TouchHub ise ikinci bir DLL sideloading işlemiyle TOUCHSHIFT'i ('mscoree.dll') başlatarak kalıcılık sağlıyor ve bellekte ikinci bir TechHub örneği çalıştırıyor. Bu ikinci örnek ClientHub'ı indirip yüklüyor; ClientHub da LPEClient'ı belleğe alıyor. LPEClient, çeşitli eklentiler, modüller ve araçlar indirmekten sorumlu orkestrasyon bileşeni olan Cubridge'e köprü görevi görüyor.

Yeni Zararlı Yazılım Araç Seti​

Kaspersky, kampanyada kullanılan zararlı yazılım ailesini ayrıntılı biçimde belgeledi. TechHub, CLOUDBURST ve NickelLoader indiricilerinin gelişmiş bir versiyonu olup GitHub üzerinden TouchHub ve ClientHub gibi ek yükler indiriyor ve cihaz ile çalışan süreçler hakkında bilgi topluyor. Cubridge ise SIDESHOW ve LightlessCan'ın gelişmiş bir versiyonu olarak değerlendiriliyor; bir komuta-kontrol sunucusuyla iletişim kurarak yeniden kullanılabilir eklentiler, tek seferlik görevler için DLL yardımcı programları ve ek modüller indiriyor. Sistem bilgisi toplama, komut çalıştırma ve web tarayıcısı verilerini çalma gibi yeteneklere sahip olan Cubridge'in aynı zamanda CookiePlus'ın gelişmiş bir versiyonu olduğu da değerlendiriliyor.
ClientHub, daha önce belgelenmemiş bir arka kapı olup iki versiyona sahip: biri HTTPS üzerinden saldırganların sunucusuyla iletişim kurarken diğeri Dropbox API'sini kullanıyor. LPEClient ise 2019'dan bu yana kullanılan, kurban profilleme ve yük teslim aracı olma özelliğini koruyor. Ağustos 2026'da Check Point, LPEClient'ın CVE-2026-68820 sıfır gün açığının istismarının ardından FudModule rootkit'ini dağıtmak için kullanıldığını açıklamıştı.

Kuantum Sonrası Kriptografi: Öne Çıkan Teknik Ayrıntı​

Kaspersky'nin bulgularında en çarpıcı teknik ayrıntı, LPEClient'ın son sürümünün ek zararlı yazılımları doğrudan bellekte indirip çalıştırmadan önce saldırganların sunucusuyla şifreli bağlantı kurmak için ML-KEM-1024 algoritmasını kullanmasıdır. Bu algoritma, gelecekteki kuantum bilgisayarlarına karşı dayanıklı olacak şekilde tasarlanmıştır. Kaspersky araştırmacısı Ryu, bu kullanımın izlerinin en az Eylül 2024'e kadar geriye gittiğini belirterek Lazarus'un bu yetenekleri kamuoyuna duyurulmadan bir yılı aşkın süre önce zaten kullanmaya başladığını vurguladı.
Kaspersky, Operation FlashHole'u Güney Koreli yazılımları potansiyel giriş noktası olarak kullanan daha geniş kapsamlı 'Cascade Hole' kampanyasının en son dalgası olarak nitelendirdi. Şirkete göre FlashHole'un ortaya çıkışı, çeşitli Güney Koreli kuruluşları COPPERHEDGE arka kapısıyla hedef alan yeni bir saldırı dalgasıyla eş zamanlı gerçekleşti. En az bir vakada bu arka kapı enfeksiyonunun, Gunra fidye yazılımı saldırılarına benzer biçimde ULOSE adlı bir dark web sızıntı sitesine veri sızdırılmasıyla sonuçlandığı aktarıldı.

Sıkça Sorulan Sorular​

Operation FlashHole nedir ve hangi sektörleri hedef alıyor?​

Operation FlashHole, Kuzey Kore bağlantılı Lazarus Grubu'nun Güney Kore'yi hedef aldığı bir siber casusluk kampanyasıdır. Kaspersky'nin bulgularına göre kampanya en az Temmuz 2025'ten bu yana aktif olup inşaat, yazılım ve kablolu iletişim ekipmanı üretimi sektörlerindeki en az üç kuruluşu etkiledi.

INISAFE CrossWeb EX neden bu saldırılarda kullanılıyor?​

INISAFE CrossWeb EX, Güney Koreli internet kullanıcılarının çevrimiçi bankacılık ve devlet portallarına erişebilmek için bilgisayarlarına yüklemek zorunda olduğu zorunlu bir finansal güvenlik yazılımıdır. Lazarus Grubu'nun bu yazılımı istismar etme geçmişi 2021'e kadar uzanmakta olup yazılımın yaygın kullanımı onu saldırılar için cazip bir hedef haline getirmektedir.

Operation FlashHole'da kullanılan zararlı yazılımlar hangileridir?​

Kampanyada TechHub, TouchHub, TOUCHSHIFT, ClientHub, LPEClient ve Cubridge adlı zararlı yazılım aileleri tespit edildi. Bu araçlar zincirleme biçimde çalışarak sistem bilgisi toplama, komut çalıştırma, dosya çalma ve ek modüller indirme gibi işlevler üstleniyor.

ML-KEM-1024 algoritması bu saldırılarda nasıl kullanılıyor?​

LPEClient zararlı yazılımının son sürümü, ek yükler indirip çalıştırmadan önce saldırganların sunucusuyla şifreli bağlantı kurmak için ML-KEM-1024 adlı kuantum sonrası kriptografik algoritmayı kullanıyor. Kaspersky, bu kullanımın izlerini en az Eylül 2024'e kadar geriye götürebildiğini açıkladı.

Operation FlashHole ile daha önceki Operation SyncHole arasındaki fark nedir?​

Her iki kampanya da Güney Kore'nin zorunlu finansal güvenlik yazılımlarını istismar ediyor; ancak SyncHole'da iniLINE Cross EX kullanılırken FlashHole'da Initech'in INISAFE CrossWeb EX yazılımı hedef alındı. Kaspersky, FlashHole'u SyncHole'un devamı niteliğinde değerlendiriyor ve her ikisini de daha geniş kapsamlı 'Cascade Hole' kampanyasının parçası olarak tanımlıyor.