Operation FlashHole: Yeni Lazarus Kampanyası

Kaspersky'nin Global Araştırma ve Analiz Ekibi (GReAT), 22 Ekim 2026'da Endonezya'nın Bali kentinde düzenlenen Security Analyst Summit'te, Lazarus APT grubuyla ilişkilendirilen Operation FlashHole adlı siber casusluk kampanyasına ilişkin bulgularını paylaştı. En az Temmuz 2025'ten bu yana aktif olan bu kampanya, Güney Kore'de inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerinde faaliyet gösteren en az üç kuruluşu etkiledi.

Saldırı Yöntemi ve İlk Tetikleyici

Saldırı, hedef odaklı oltalama e-postaları ile başlatılmıştır. Bu e-postalar, hedef alınan kişilere özel olarak kurgulanmış portföy ve özgeçmiş sitelerine yönlendiren bağlantılar içermektedir. Maliyetli sitelerin ziyaret edilmesi, Güney Kore'de yaygın olarak kullanılan CrossWeb EX isimli bir güvenlik eklentisi ve web kimlik doğrulama yazılımı üzerinden bir bulaşma zincirini tetiklemektedir.

Araştırmacılar, saldırı faaliyetinin CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirildiğini ve saldırganlara ilk sızma noktasını sağlamış olabileceğini değerlendirmektedir.

Yapay Zeka Kullanımı

Lazarus operatörleri, saldırılarını daha etkili kılmak için yapay zeka teknolojisinden de yararlanmaktadır. Sahte iş arayana ait yapay zeka ile üretilmiş portre fotoğraflarının kullanılması, saldırganların siteleri hedeflere özel uyarlarken de yapay zeka teknolojisinden faydalandığını göstermektedir.

Komuta ve Kontrol Kanalı

Araştırmacılar, Lazarus tarafından istismar edilen GitHub hesabına ait bir GitHub Pages web sitesi keşfettiler. Eylül 2025'te açılan bu hesap, başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte bir özgeçmiş sitesine ev sahipliği yapıyordu. Bu yaklaşım, Lazarus'un Operation DreamJob adlı iş arama temalı saldırısıyla birebir örtüşmektedir.

Yeni Zararlı Yazılım Araçları

Kaspersky araştırmacıları, saldırı kampanyasında daha önce belgelenmemiş iki yeni araç tespit ettiler:

  • TouchHub ve ClientHub: Bu bileşenler, hedeflenen bilgisayarlara ilave zararlı yazılımlar yüklemek, komutlar çalıştırmak ve saldırganlarla iletişimi sürdürmek amacıyla kullanılmaktadır. TouchHub'ın bir varyantı, operatörleriyle iletişim kurmak için Dropbox platformundan yararlanmaktadır.
  • LPEClient: Lazarus grubunun uzun süredir kullanmakta olduğu bu aracın güncellenmiş bir sürümü de kampanya kapsamında tespit edilmiştir. Sistemlerdeki güvenlik yazılımları ve Windows güvenlik kontrol noktalarını tanımlamak üzere geliştirilen yeni sürüm, ele geçirilen bilgisayarlar hakkında bilgi toplamakta ve ek zararlı yazılımlar yüklemektedir.

Operation SyncHole ile Bağlantı

Kaspersky GReAT, Operation FlashHole'nin Lazarus'un geçtiği yıl tespit edilen Operation SyncHole hareketi ile bağlantılı yeni bir saldırı dalgası olduğunu ortaya koymaktadır. Tehdit aktörlerinin araç ve tekniklerini zaman içinde geliştirerek hareketi çok daha kalıcı ve gelişmiş bir yapıya kavuşturduğu gözlenmektedir.

Kuantum Sonrası Şifreleme

Saldırı kampanyasının önemli bir özelliği, kuantum sonrası şifreleme tekniklerinin kullanılmasıdır. Bu ileri şifreleme yöntemleri, saldırıların izlerini gizlemeye ve veriyi uzun süre korumaya yönelik olarak tasarlanmıştır.