Lazarus, Güney Kore'de zorunlu güvenlik yazılımını kullandığı yeni kampanyada kuantum sonrası şifreleme kullandı

Kaspersky araştırmacısı Sojun Ryu’nun 21 Ekim’de yayımladığı rapora göre Kuzey Kore bağlantılı Lazarus grubu, Güney Kore’deki kurumları hedef alan yeni bir casusluk kampanyasında hem eski hem yeni zararlı yazılımlardan oluşan güncellenmiş bir saldırı zinciri kullandı. Kaspersky bu faaliyete Operation FlashHole adını verdi. Rapor, kampanyanın geçen yılki Operation SyncHole’un ardından geldiğini ve bu kez grubun hedeflerini daha seçici belirlediğini anlatıyor.

Hedefler ve ilk erişim

Kaspersky, kampanyadan etkilenen en az üç kurum tespit etti. Kurumlar Güney Kore’nin yazılım, inşaat ve kablolu haberleşme ekipmanı üretimi sektörlerinde faaliyet gösteriyor. Rapora göre kampanyanın en erken izleri Temmuz 2025’e uzanıyor. Kaspersky’ye göre bu, grubun bir önceki operasyonu bitirdikten kısa süre sonra hazırlığa başladığına işaret ediyor.

Rapora göre saldırganlar hedeflere, her biri için ayrı hazırlanmış sahte ama inandırıcı sitelere bağlantı veren hedefli oltalama e-postaları gönderdi. Kaspersky, komuta kontrol kanalı olarak kullanılan GitHub hesabına bağlı ve GitHub Pages üzerinde barındırılan şüpheli bir site buldu. Sitenin ilk sürümü kıdemli bir ağ cihazı geliştiricisinin özgeçmişini gösteriyordu. Ocak ayında site, bir iç mimarlık portföyüyle değiştirildi. Kaspersky’ye göre ilk siteye büyük olasılıkla kablolu haberleşme ekipmanı üreten bir şirketin çalışanı, ikincisine ise inşaat sektöründeki bir hedef girdi. Özgeçmiş sitesindeki fotoğrafın meta veri içermemesi ve doğal olmayan dokusu, Kaspersky’ye göre yapay zekâyla üretildiğine işaret ediyor. Kaspersky, enfeksiyon zincirini neyin başlattığını kesin olarak belirleyemediğini, ancak bu siteyi ziyaret etmenin zinciri başlatmış olma ihtimalinin yüksek olduğunu belirtiyor.

Zincir, Güney Kore’de yaygın kullanılan çevrim içi bankacılık ve kamu sitelerine erişmek için kurulması zorunlu olan CrossWeb EX adlı finansal güvenlik yazılımı üzerinden ilerledi. Bir önceki operasyonda ise Cross EX yazılımı kullanılmıştı. Kaspersky’ye göre iki yazılım da aynı üreticiye ait görünüyor. CrossWeb EX’in tam olarak nasıl kötüye kullanıldığı belli değil, ancak zincir sonunda zararlı yazılımın bellekte çalıştırılmasına varıyor. Rapora göre Lazarus bu yazılımı ilk kez kullanmıyor. Yazılım 2021’de ve ardından 2022 ile 2023’te de grubun saldırılarında kullanılmıştı.

Saldırı zinciri

Kaspersky’nin belgelediği zincirde birden fazla zararlı yazılım birbirine bağlı çalışıyor. İlk aşamadaki TechHub, komuta kontrol kanalı olarak GitHub’ı kullanıyor. Kaspersky saldırganların en az üç ana ve bir yedek GitHub deposunu bu amaçla kullandığını, hesapların ele geçirilmiş e-posta hesaplarıyla açıldığından şüphelendiğini belirtiyor. Cubridge ve ClientHub adlı zararlıların komuta kontrol sunucuları için grup, ele geçirilmiş meşru Güney Kore medya ve iç mimarlık sitelerini kullandı. Kaspersky daha sonra başka sektörlerden ele geçirilmiş sitelerin de kullanıldığını gözlemledi. Bir örnekte ise Dropbox komuta kontrol kanalı olarak kullanıldı.

Zincirdeki ClientHub adlı yeni zararlı yazılım, yapılandırma bilgilerini SNOW 1.0 akış şifresiyle şifreliyor. Kaspersky’ye göre bu algoritmanın bir Lazarus zararlısında kullanıldığı ilk örnek bu.

Kuantum sonrası şifreleme

Raporun en dikkat çeken ayrıntısı, ilk kez 2019’da ortaya çıkan LPEClient zararlısının güncellenmiş sürümünde. LPEClient, komuta kontrol sunucusundan her biri 1.568 bayt olan dört blok alıyor. Rapora göre her blok bir ML-KEM-1024 açık anahtarı içeriyor. ML-KEM, NIST’in 2024’te standartlaştırdığı ve CRYSTALS-Kyber’den türetilen kuantum sonrası anahtar paylaşım algoritması. LPEClient bu dört anahtardan dört ayrı ortak anahtar üretiyor ve bunları birleştirerek sonraki zararlı yükleri Threefish algoritmasıyla çözüyor. Kaspersky’ye göre kuantum sonrası şifrelemenin kullanılması, grubun sonraki yükleri gizleme niyetini gösteriyor.

Raporun sonuç bölümünde Kaspersky şu değerlendirmeyi yapıyor: “İronik bir şekilde grup, daha güvenli olan kuantum sonrası şifrelemeyi birçok meşru güvenlik ürününden daha hızlı benimsemiş görünüyor.” Kuantum sonrası şifrelemenin ne olduğunu ve neden geliştirildiğini kuantum bilgisayarlar ve bugünün şifrelemesi rehberimizde anlatmıştık.

Atıf

Kaspersky, SyncHole ve FlashHole operasyonlarının aynı aktörün işi olduğunu orta ile yüksek arası bir güvenle değerlendiriyor. Bu değerlendirme ilk erişim yöntemine, hedeflere, çok aşamalı zincire ve araçlardaki teknik gelişmelere dayanıyor. Rapora göre LPEClient’ın iki operasyonda da kullanılması bu değerlendirmeyi güçlü biçimde destekliyor. Kampanyada kullanılan araçların önceki sürümleri, Lazarus’un Dream Job kampanyasında, özellikle 2022-2023 yıllarında da görülmüştü.

Kaspersky, aynı dönemde Güney Kore’deki kurumlara COPPERHEDGE adlı arka kapıyla yapılan ve maddi kazanç amaçlı göründüğü saldırıları da gözlemledi. Rapora göre FlashHole ise casusluk odaklı. Kaspersky, Güney Kore hükümetinin Ekim 2025’te açıkladığı ve 2026’dan itibaren kullanıcılar için zorunlu güvenlik yazılımı kurulumunu aşamalı olarak kaldıracak planına dikkat çekiyor. Şirketin tahminine göre bu yazılımları istismar eden operasyonlar, yazılımlar tamamen kaldırılana ya da açıkları giderilene kadar bir süre daha yoğun şekilde sürecek.