Minacce · 4 ore fa
Kaspersky attribuisce a Lazarus Operation FlashHole, attiva almeno da luglio 2025, e riferisce che ha colpito almeno tre organizzazioni sudcoreane nei settori delle costruzioni, del software e degli apparati per telecomunicazioni. La campagna ha abusato di INISAFE CrossWeb EX per distribuire malware.
Lazarus ha inviato link mirati a pagine costruite come curriculum o portfolio pertinenti ai singoli bersagli, poi ha sfruttato il software finanziario già installato sui loro computer per agevolare la consegna del malware. INISAFE CrossWeb EX è richiesto per accedere ai servizi bancari e governativi online in Corea del Sud: un componente considerato affidabile può così diventare parte del percorso d’infezione.
FlashHole riprende il modello di SyncHole, ma punta su un prodotto diverso. Kaspersky segnala inoltre che Lazarus usa la crittografia post-quantistica per le comunicazioni del malware almeno da settembre 2024: non è un esperimento recente. Anche fuori dalla Corea del Sud, link costruiti per singoli dipendenti possono trasformare utility locali fidate in canali di distribuzione del malware.
1 fonte che coprono questa storia
Lazarus Abuses South Korean Security Software to Deploy Malware Using Post-Quantum Encryption
Lazarus abuses INISAFE CrossWeb EX in Operation FlashHole to deploy new malware targeting South Korean organizations.
Part of the PlainSec briefing for 2026-10-27