Operation FlashHole di Lazarus: spionaggio in Corea del Sud via CrossWeb EX e crittografia post-quantum ML-KEM 1024

Il gruppo Lazarus legato alla Corea del Nord è stato associato a una campagna di cyber spionaggio chiamata Operation FlashHole, rivolta ad almeno tre organizzazioni in Corea del Sud nei settori costruzioni, software e produzione di apparati per comunicazioni. L’attività risulta in corso almeno da luglio 2025 e appare come una prosecuzione evoluta di precedenti intrusioni che sfruttavano software di sicurezza finanziaria molto diffusi nel paese.

Il punto chiave di Operation FlashHole è l’abuso di INISAFE CrossWeb EX, una soluzione obbligatoria in molti contesti per accedere a servizi di online banking e portali governativi. Questi programmi, installati su larga scala, diventano un vettore ad alto impatto quando presentano vulnerabilità o quando possono essere manipolati nella catena di esecuzione. In passato attori avanzati hanno già sfruttato componenti simili tramite watering hole e spear phishing, inducendo le vittime a visitare URL malevoli e innescando installazioni di payload tramite falle note o one-day.

Nel caso FlashHole, l’accesso iniziale non è sempre chiaro, ma emergono indizi su siti malevoli ospitati su pagine GitHub, costruiti per sembrare credibili come portfolio o curriculum mirati al singolo bersaglio. Una volta cliccato il link, la sequenza di infezione sfrutta CrossWeb EX per avviare un binario Windows legittimo come fsquirt.exe e poi caricare una DLL malevola tramite DLL sideloading. La catena è progettata per rimanere in memoria nelle fasi iniziali, riducendo le tracce su disco e complicando l’analisi forense.

Il framework malware osservato include più componenti con ruoli distinti:

• TechHub: agisce come downloader e orchestratore iniziale, recuperando ulteriori moduli anche da repository online.
• TouchHub: funge da installer che porta a TouchShift.
• TouchShift: dropper capace di distribuire strumenti come keylogger, moduli per screenshot e backdoor.
• ClientHub: introduce canali di comando e controllo via HTTPS o tramite API di servizi cloud e abilita funzioni come raccolta file, compressione in archivi ZIP, cancellazione mirata e monitoraggio dei dischi locali.
• LPEClient: usato per profiling della vittima e consegna di payload in memoria, con collegamenti a tecniche di escalation dei privilegi osservate in campagne recenti.

Un aspetto particolarmente rilevante per la cybersecurity è l’uso di ML-KEM 1024, un algoritmo di crittografia post-quantum, per stabilire connessioni cifrate prima di scaricare ed eseguire ulteriori payload. Questa scelta segnala un aumento della sofisticazione e una maggiore attenzione alla resilienza delle comunicazioni malevole nel tempo.