21 октября 2026 г.
Lazarus заражает через CrossWeb EX: минимум три организации в Южной Корее под ударом
С июля 2025 года Lazarus атакует минимум три организации в Южной Корее из сфер ПО, строительства и производства коммуникационного оборудования. Kaspersky GReAT назвал кампанию FlashHole и связал её с предыдущей SyncHole.
Вредонос попадает на машину через CrossWeb EX (разработчик INISAFE, версия 3.4.1.2 из 2023 года) и фейковые сайты резюме и портфолио на GitHub Pages. В SyncHole тот же LPEClient работал минимум четыре месяца. Теперь цепочка длиннее: загрузчик TechHub ходит в GitHub API по Personal Access Token, оркестратор Cubridge, установщик TouchHub, loader TouchShift через DLL side-loading и новый малварь ClientHub с шифром SNOW 1.0.
Что проверить. В отчёте есть IOC: путь C:\Windows\System32\RasConv\ и C2-домен cubedesign[.]co[.]kr, плюс детекты Trojan.Win64.Lazarus.*, Trojan.Win64.DLLhijack.* и MEM:Trojan.Win64.Shellcode.gen. Если на машине стоит CrossWeb EX версии 3.4.1.2, начните проверку с этого пути и домена.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Шифрование. LPEClient впервые использует ML-KEM-1024, стандарт NIST для постквантовой инкапсуляции ключей, чтобы спрятать следующие payload. Рядом применяются Threefish, GOST (Magma), AES-256 и RC6. Атрибуцию обеих операций одному актору Kaspersky даёт со средне-высокой уверенностью.
От первой активности FlashHole в июле 2025 до отчёта от 21 октября 2026 прошло 15 месяцев.
Первоисточник