Lazarus 以後量子加密攻擊韓國金融安全軟體

與北韓相關的拉薩魯斯組織已被歸因於一項名為 Operation FlashHole 的網路間諜活動，目標至少三間在韓國的組織，涵蓋建築、軟體及有線通訊裝置製造業。

根據俄羅斯網路安全公司 Kaspersky 的說法，該活動至少自 2025 年 7 月起已持續進行。它被評估為從 Operation SyncHole 所遺留的地方繼續發展。

「該組織對受害者進行更具針對性的攻擊，傳送帶有連結的針對性網路釣魚電子郵件，連結指向偽造但相關的網站，例如為每個目標量身定製的作品集和履歷頁面，」Kaspersky GReAT 的資深安全研究員 Sojun Ryu 在一次全面分析中 表示。

Kaspersky 在 2025 年 4 月首次記錄了 Operation SyncHole，詳細說明瞭國家贊助對手自 2024 年 11 月以來針對韓國軟體、資訊科技、金融、半導體製造及電信產業，並傳送如 ThreatNeedle、AGAMEMNON、wAgent、SIGNBT 與 COPPERHEDGE 等惡意程式的行動。

這些攻擊以利用 iniLINE Cross EX 的安全漏洞來傳送惡意程式為特徵。Cross EX 是韓國網路使用者在電腦上安裝的必備金融安全軟體，旨在於使用線上銀行和政府服務時，支援各種瀏覽器環境下的安全軟體。

該利用程式旨在啟動合法的「SyncHost.exe」程序，並將 shellcode 注入其中以載入 ThreatNeedle 後門。攻擊鏈還利用了 Innorix Agent 檔案傳輸解決方案 9.2.18.496 版的「一日漏洞」進行橫向移動。

Operation FlashHole 繼續前一波針對以韓國為焦點的軟體進行滲透的策略。與 SyncHole 利用 Cross EX 不同，FlashHole 被發現濫用 Initech 的 INISAFE CrossWeb EX，這是另一項必備金融安全解決方案，為於該國進行線上銀行及政府門戶訪問所必需。

根據 iniLINE 的網站，該公司早在 2010 年就與 Initech 建立了戰略聯盟，共同開發 CrossWeb。此解決方案目前由 Initech 作為基於證書的身份驗證與電子簽章方案進行行銷。

儘管如此，拉薩魯斯組織長期以來一直利用此軟體以達成其目標。於 2021 年第三季，它被用於部署名為 Racket 的下載程式，並與長期運作的攻勢 DeathNote 相關聯。

Operation FlashHole 初始入侵時的攻擊流程

在 2022 年至 2023 年之間，AhnLab 亦 披露 攻擊案例，攻擊者 利用 軟體中的 安全漏洞，透過水坑攻擊分發 DLL 惡意程式（"SCSKAppLink.dll"），該 DLL 程式碼由攻擊者破壞的 IIS 網站伺服器取得。

「該組織首先駭入韓國網站並修改內容……」AhnLab 在 2023 年 7 月的報告中 指出。「當使用 INISAFE CrossWeb EX V6 易受攻擊版本的系統透過瀏覽器訪問此網站時，拉薩魯斯惡意程式（SCSKAppLink.dll）會透過 INISAFECrossWebEXSvc.exe 漏洞從分發站點安裝。

初始感染鏈

這些發現也發生在韓國網路與安全域性（KISA）及國內網路安全供應商於 2026 年 7 月發布的 聯合諮詢 的背景下，該諮詢強調 Lazarus 集團利用像 AnySign4PC 這類金融安全程式的漏洞，透過 spear‑phishing 和 watering hole 技術誘使受害者訪問惡意網址，進而分發後門程式如 Struggle（又稱 SIGNBT 3.0）和 Brandoor（又稱 COPPERHEDGE）。

"攻擊者透過各種手段，包括 watering hole 與 spear‑phishing 攻擊，誘使目標存取惡意網址，隨後利用漏洞最終安裝後門惡意程式，" AhnLab 說，並將此行動稱為 Operation Double Barrel。

FlashHole 的精確初始存取向量尚不清楚，但跡象顯示其源於託管於 GitHub 頁面的惡意網站，其中一個版本託管了一位資深網路裝置開發者的履歷與一張可能使用人工智慧（AI）生成的個人照片。

在取得永續性後擴充套件的感染鏈

推測目標會收到包含指向惡意網站連結的 spear‑phishing 電子郵件，點選後會啟動一個感染序列，使用 CrossWeb EX 啟動合法 Windows 執行檔 "fsquirt.exe"，然後再透過 DLL sideloading 啟動名為 TechHub 的惡意 DLL。

"感染鏈相當複雜，揭示了 Lazarus 集團在目標主機上的先進作業技巧，" 卡巴斯基表示。"這些技巧隱藏了他們的惡意負載、意圖，以及他們精密的惡意程式交付框架。"

"顯著的是，下列執行鏈僅在初始滲透期間存在於記憶體中，凸顯了攻擊者大量努力隱藏最初的妥協。" 

TechHub 本身會從 GitHub 下載名為 TouchHub 的惡意程式，該程式利用 DLL sideloading 於第二階段啟動一個名為 TOUCHSHIFT（"mscoree.dll"）的惡意 DLL，藉此透過在記憶體中執行另一個 TechHub 例項來建立永續性。

Lazarus 集團攻擊之間的重疊

此第二個 TechHub 例項會取得另一個名為 ClientHub 的惡意程式族群，以下載並載入 LPEClient 到記憶體。LPEClient 作為 Cubridge 的通道，Cubridge 是惡意程式框架的協調元件，負責抓取各種外掛、模組與工具。

以下為惡意程式工具集的額外細節 -

• TechHub，是 CLOUDBURST 與 NickelLoader 下載器的進階版，能與 GitHub 通訊以取得額外負載，例如 TouchHub 與 ClientHub，並收集裝置及其執行程式的資訊。
• Cubridge，是 SIDESHOW 與 LightlessCan 的改進版，能與命令與控制（C2）伺服器通訊，下載可重複使用的外掛、一次性任務的 DLL 工具，以及額外模組以擴充功能，從而可蒐集全面系統資訊、執行指令、竊取檔案及瀏覽器資料。它亦被評估為 CookiePlus 的進階版。
• TouchHub，TouchShift 的母安裝程式。
• TouchShift，能投遞鍵盤記錄器、截圖工具與後門的惡意程式投遞器。
• ClientHub, 一個先前未被記錄的後門，分為兩個版本：一個使用 HTTPS 與攻擊者控制的伺服器通訊，另一個則與 Dropbox API 互動。該惡意軟體的最終目標是部署額外的外掛與 DLL。外掛允許惡意軟體建立 ZIP 壓縮檔、收集符合搜尋模式的檔案、刪除特定檔案，以及監控本機磁碟變更並回傳收集到的狀態資訊。
• LPEClient，自 2019 年以來一直使用的長期受害者分析與負載傳遞工具。

2026 年 8 月，Check Point 透露 LPEClient 之後被部署，原因是利用 CVE-2026-68820 的零日漏洞（影響 Windows Ancillary Function Driver for WinSock 的提權缺陷）來部署 FudModule rootkit。

最新版本惡意軟體的顯著之處在於它使用 ML-KEM-1024（後量子加密演算法）在下載並直接於記憶體中執行額外惡意軟體之前，先與攻擊者的伺服器建立加密連線。

"Operation FlashHole 是更廣泛的 Cascade Hole 活動中的最新一波，該活動涉及使用韓國軟體作為潛在入口點，以傳遞針對該國的惡意軟體，"卡巴斯基表示。

該網安公司表示，Operation FlashHole 的出現與針對各韓國組織使用 COPPERHEDGE 後門的全新攻擊浪潮相吻合。至少在一個案例中，後門感染據稱導致資料外流至名為 ULOSE 的暗網洩漏網站，方式類似於Gunra 勒索軟體攻擊在同一時期針對韓國實體的情形。

"Lazarus 仍在擴大其作業，啟動新活動，同時推出新工具並重新設計熟悉的工具以滿足其需求，"Ryu 在與 The Hacker News 分享的宣告中說。

"值得更深入關注的是 Lazarus 採用能抵禦未來量子威脅的加密技術。我們的發現追溯其使用至少可追溯至 2024 年 9 月，顯示這些功能已在此披露前一年多就開始保護該組織的惡意軟體通訊。"

覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 上追蹤我們，以閱讀更多我們發布的獨家內容。