O grupo Lazarus, vinculado à Coreia do Norte, foi associado a uma campanha de espionagem cibernética chamada Operação FlashHole, que tem como alvo pelo menos três organizações na Coreia do Sul, dos setores de construção, software e fabricação de equipamentos de comunicação com fio.
Segundo a empresa russa de cibersegurança Kaspersky, a campanha está ativa desde pelo menos julho de 2025. Acredita-se que ela tenha retomado de onde a Operação SyncHole parou.
“O grupo selecionou as vítimas de forma mais criteriosa, enviando e-mails de spear-phishing (phishing direcionado) com links para sites fabricados, mas relevantes, como páginas de portfólio e currículo personalizadas para cada alvo”, afirmou Sojun Ryu, pesquisador sênior de segurança da Kaspersky GReAT, em uma análise extensa.
A Operação SyncHole foi documentada pela primeira vez pela Kaspersky em abril de 2025. A campanha detalhava a atuação do adversário patrocinado pelo Estado contra os setores de software, TI (tecnologia da informação), financeiro, fabricação de semicondutores e telecomunicações da Coreia do Sul, desde novembro de 2024, para distribuir malwares como ThreatNeedle, AGAMEMNON, wAgent, SIGNBT e COPPERHEDGE.
Os ataques foram caracterizados pela exploração de uma falha de segurança no iniLINE Cross EX para distribuir malware. O Cross EX é um programa de segurança financeira obrigatório, instalado por usuários de internet sul-coreanos em seus computadores para dar suporte a softwares de segurança em diversos navegadores ao acessar serviços de internet banking e governamentais.
O exploit foi projetado para iniciar o processo legítimo “SyncHost.exe” e injetar nele um shellcode (código de máquina injetado), a fim de carregar a backdoor ThreatNeedle. A cadeia de ataque também incorporou uma vulnerabilidade de um dia (já divulgada publicamente) no Innorix Agent, solução de transferência de arquivos na versão 9.2.18.496, para movimentação lateral na rede.
A Operação FlashHole dá continuidade à onda anterior, que tinha como alvo softwares voltados à Coreia do Sul para invadir alvos. Enquanto a SyncHole explorava o Cross EX, a FlashHole passou a abusar do INISAFE CrossWeb EX, da Initech, outra solução de segurança financeira obrigatória para acessar portais de internet banking e governamentais no país.
De acordo com o site da iniLINE, a empresa firmou uma aliança estratégica com a Initech já em 2010 para desenvolver o CrossWeb. Atualmente, a Initech o comercializa como uma solução de autenticação baseada em certificados e assinatura eletrônica.
Dito isso, o grupo Lazarus tem um longo histórico de abuso desse software para atingir seus objetivos. No terceiro trimestre de 2021, ele foi usado para distribuir um downloader chamado Racket, em conexão com uma campanha de longa duração chamada DeathNote.
Entre 2022 e 2023, a AhnLab também divulgou ataques nos quais o agente de ameaça explorou uma falha de segurança no software para distribuir um malware em DLL (biblioteca de vínculo dinâmico), “SCSKAppLink.dll”, por meio de ataques de watering hole (sites comprometidos frequentados pelas vítimas). A carga em DLL era obtida a partir de servidores web IIS (Serviços de Informações da Internet) comprometidos pelo agente.
“O grupo primeiro invade sites coreanos e modifica o conteúdo fornecido pelo site”, observou a AhnLab em um relatório de julho de 2023. “Quando um sistema que usa uma versão vulnerável do INISAFE CrossWeb EX V6 visita esse site por meio de um navegador web, o malware Lazarus (SCSKAppLink.dll) é instalado a partir do site de distribuição por meio da vulnerabilidade do INISAFECrossWebEXSvc.exe.”
As descobertas também surgem em meio a um comunicado conjunto de julho de 2026, publicado pela Agência de Segurança da Internet da Coreia (KISA) e por fornecedores nacionais de cibersegurança. O documento destaca a exploração, pelo grupo Lazarus, de vulnerabilidades em programas de segurança financeira como o AnySign4PC, para distribuir backdoors como Struggle (conhecido também como SIGNBT 3.0) e Brandoor (também conhecido como COPPERHEDGE). Segundo o comunicado, as vítimas eram enganadas para acessar URLs (endereços de sites) maliciosas por meio de técnicas de spear-phishing e watering hole.
“Os atacantes induziram os alvos a acessar URLs maliciosas por meio de vários métodos, incluindo ataques de watering hole e spear-phishing, e depois exploraram as vulnerabilidades para instalar, em última instância, malware do tipo backdoor”, afirmou a AhnLab em comunicado, ao batizar a campanha de Operação Double Barrel.
O vetor de acesso inicial preciso da FlashHole não está claro, mas há indícios de sites maliciosos hospedados em páginas do GitHub. Uma das versões desses sites hospedava o currículo de um desenvolvedor sênior de equipamentos de rede, junto com uma foto de perfil provavelmente gerada por inteligência artificial (IA).
Suspeita-se que os alvos recebam e-mails de spear-phishing contendo links para o site malicioso. Ao acessá-lo, é disparada uma sequência de infecção envolvendo o CrossWeb EX, que inicia o binário legítimo do Windows “fsquirt.exe”. Este, por sua vez, é usado para executar uma DLL maliciosa chamada TechHub, por meio de DLL sideloading (carregamento lateral de DLL).
“A cadeia de infecção é bastante complexa e revela as técnicas operacionais avançadas do grupo Lazarus contra computadores-alvo”, disse a Kaspersky. “Essas técnicas ocultam suas cargas maliciosas, suas intenções e uma estrutura sofisticada de distribuição de malware.”
“Significativamente, a cadeia de execução abaixo existe apenas na memória durante a infiltração inicial, o que evidencia o esforço considerável dos atacantes para ocultar o comprometimento inicial.”
Já o TechHub baixa do GitHub um malware chamado TouchHub, que utiliza um segundo sideloading de DLL para lançar uma carga maliciosa em DLL chamada TOUCHSHIFT (“mscoree.dll”). Essa carga é responsável por garantir a persistência do ataque, ao iniciar a execução em memória de outra instância do TechHub.
Essa segunda instância do TechHub obtém outra família de malware conhecida como ClientHub, que baixa e carrega o LPEClient na memória. O LPEClient serve como canal para o Cubridge, componente de orquestração da estrutura de malware projetada para buscar diversos plugins, módulos e ferramentas.
Mais detalhes sobre o conjunto de ferramentas de malware são os seguintes:
- TechHub, uma versão avançada dos downloaders CLOUDBURST e NickelLoader, que se comunica com o GitHub para buscar cargas adicionais, como TouchHub e ClientHub, além de coletar informações sobre o dispositivo e os processos em execução.
- Cubridge, uma versão aprimorada do SIDESHOW e do LightlessCan, capaz de se comunicar com um servidor de comando e controle (C2) e de baixar plugins reutilizáveis, utilitários em DLL para tarefas pontuais e módulos adicionais para ampliar sua funcionalidade. Com isso, consegue reunir informações abrangentes do sistema, executar comandos e roubar arquivos e dados de navegadores web. Também se avalia que seja uma versão avançada do CookiePlus.
- TouchHub, um instalador principal do TouchShift.
- TouchShift, um dropper de malware capaz de instalar keyloggers, utilitários de captura de tela e backdoors.
- ClientHub, uma backdoor até então não documentada, que existe em duas versões: uma se comunica com um servidor controlado pelos atacantes, usando HTTPS (protocolo HTTP seguro), e a outra interage com a API do Dropbox (interface de programação de aplicações). O objetivo final do malware é implantar plugins e DLLs adicionais. Os plugins permitem ao malware criar arquivos ZIP, coletar arquivos que correspondam a um padrão de busca, excluir arquivos específicos e monitorar alterações em unidades locais, devolvendo as informações de status coletadas.
- LPEClient, uma ferramenta de perfilamento de vítimas e entrega de cargas maliciosas de longa data, usada desde 2019.
Em agosto de 2026, a Check Point revelou que o LPEClient foi implantado após a exploração de dia zero da CVE-2026-68820 (Vulnerabilidades e Exposições Comuns), uma falha de elevação de privilégio no Windows Ancillary Function Driver for WinSock, para instalar o rootkit FudModule.
O que chama a atenção na versão mais recente do malware é o uso do ML-KEM-1024 (mecanismo de encapsulamento de chaves resistente a computadores quânticos), um algoritmo criptográfico pós-quântico, para estabelecer uma conexão criptografada com o servidor dos atacantes antes de baixar e executar outros malwares diretamente na memória.
“A Operação FlashHole é a mais recente onda da campanha mais ampla Cascade Hole, que envolve o uso de softwares sul-coreanos como possível porta de entrada para distribuir malware contra o país”, disse a Kaspersky.
A empresa de cibersegurança afirmou que o surgimento da Operação FlashHole coincidiu com uma nova onda de ataques contra diversas organizações sul-coreanas, por meio da backdoor COPPERHEDGE. Em pelo menos um caso, a infecção teria resultado na exfiltração de dados para um site de vazamento na dark web chamado ULOSE, de forma semelhante aos ataques de ransomware Gunra direcionados a entidades sul-coreanas na mesma época.
“O Lazarus continua expandindo suas operações, lançando novas campanhas e introduzindo novas ferramentas, além de reformular outras já conhecidas para atender às suas necessidades”, disse Ryu em comunicado compartilhado com o The Hacker News.
“O que merece atenção mais detalhada é a adoção, pelo Lazarus, de criptografia projetada para resistir a futuras ameaças quânticas. Nossas descobertas indicam que esse uso remonta a pelo menos setembro de 2024, mostrando que esses recursos já protegiam as comunicações de malware do grupo mais de um ano antes desta divulgação.”
