Nhóm tin tặc "khét tiếng" Lazarus tấn công nhà sản xuất thiết bị viễn thông Hàn Quốc
Sự khởi đầu và con đường tấn công vào hệ thống vừa được các chuyên gia bảo mật dò ra.
Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) của hãng bảo mật Kaspersky vừa công bố kết quả điều tra chiến dịch gián điệp mạng Operation FlashHole do nhóm tin tặc Lazarus APT thực hiện. Từ tháng 7/2025 đến nay, chiến dịch đã ảnh hưởng đến ít nhất 3 tổ chức, doanh nghiệp thuộc lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc.
Một nhà sản xuất thiết bị viễn thông Hàn Quốc bị nhóm tin tặc "khét tiếng" Lazarus tấn công. (Ảnh minh họa)
Theo báo cáo, nhóm tấn công sử dụng email lừa đảo có chủ đích, dẫn nạn nhân đến các trang hồ sơ năng lực và CV giả mạo. Một số trang web được tạo trên GitHub Pages, sử dụng hình ảnh do AI tạo ra để giả danh ứng viên tìm việc hoặc chuyên gia phát triển thiết bị mạng.
Các chuyên gia nhận định quá trình lây nhiễm có thể bắt đầu thông qua CrossWeb EX, phần mềm xác thực web và bảo mật tài chính được sử dụng phổ biến tại Hàn Quốc. Lỗ hổng trong phần mềm này có thể tạo điều kiện để tin tặc xâm nhập hệ thống mục tiêu.
Chiến dịch sử dụng các phiên bản mã độc được cập nhật, đồng thời bổ sung hai công cụ chưa từng được ghi nhận là TouchHub và ClientHub. Các công cụ này cho phép cài đặt mã độc, thực thi lệnh trên máy tính bị nhiễm và liên lạc với máy chủ điều khiển của tin tặc. Một biến thể còn sử dụng Dropbox làm kênh liên lạc.
Các chuyên gia bảo mật cũng phát hiện phiên bản mới của LPEClient, công cụ được Lazarus sử dụng để thu thập thông tin hệ thống và tải thêm mã độc. Phiên bản này có thể kiểm tra phần mềm bảo mật, cơ chế bảo vệ Windows, sau đó mã hóa dữ liệu thu thập được trước khi gửi cho kẻ tấn công.
Đáng chú ý, LPEClient ứng dụng cơ chế mật mã hậu lượng tử ML-KEM-1024 để thiết lập kết nối mã hóa với máy chủ điều khiển. Công cụ còn có khả năng tải và chạy mã độc trực tiếp trong bộ nhớ, đồng thời tìm cách vô hiệu hóa các cơ chế giám sát bảo mật nhằm hạn chế nguy cơ bị phát hiện.
Chưa dừng lại ở đó, Kaspersky cảnh báo, Lazarus tiếp tục nâng cấp công cụ và kỹ thuật trong các chiến dịch Operation FlashHole và Operation SyncHole, cho thấy nhóm này đang duy trì hoạt động gián điệp mạng với phương thức ngày càng phức tạp.
Bình luận
