Nueva campaña de ciberespionaje de Lazarus que emplea IA y cifrado poscuántico
- Seguridad
La Operation FlashHole identificada por Kaspersky muestra cómo los grupos APT más avanzados están incorporando tecnologías emergentes para reforzar tanto la infiltración inicial como la protección de sus comunicaciones y datos robados, anticipando tendencias que podrían extenderse a otros actores de amenazas en el futuro.
El grupo norcoreano Lazarus vuelve a elevar el nivel de sofisticación de sus operaciones. Investigadores de Kaspersky han identificado una nueva campaña de ciberespionaje, denominada Operation FlashHole, en la que los atacantes combinan inteligencia artificial, malware inédito y técnicas de cifrado poscuántico para infiltrarse en organizaciones de Corea del Sur.
La investigación atribuye la campaña al conocido grupo APT Lazarus y señala que la actividad permanece activa al menos desde julio de 2025. Hasta el momento, ha afectado a empresas de los sectores de la construcción, el desarrollo de software y la fabricación de equipos de comunicaciones.
Creciente sofisticación
Uno de los aspectos más llamativos de la operación es la utilización de inteligencia artificial para reforzar las tácticas de ingeniería social. Los investigadores detectaron sitios web fraudulentos alojados en GitHub Pages que simulaban los perfiles profesionales de supuestos candidatos a puestos tecnológicos. Entre los elementos empleados figuraba una fotografía generada mediante IA y contenidos personalizados para cada objetivo, en una estrategia que recuerda a la campaña DreamJob, otra operación previa de Lazarus basada en falsas ofertas de empleo.
Según Kaspersky, los ataques comenzaban mediante correos de spear phishing que dirigían a las víctimas a estos sitios falsificados. La visita a las páginas maliciosas habría desencadenado una cadena de infección vinculada a CrossWeb EX, un software de autenticación web ampliamente utilizado en Corea del Sur y que ya había sido señalado anteriormente por vulnerabilidades de seguridad.
Los investigadores identificaron además dos herramientas de malware nunca documentadas hasta ahora, bautizadas como TouchHub y ClientHub. Estas permiten desplegar cargas maliciosas adicionales, ejecutar comandos en los sistemas comprometidos y mantener la comunicación con los operadores. Una de las variantes incluso utiliza Dropbox como canal de comunicación con los atacantes.
La campaña incorpora también una versión actualizada de LPEClient, una herramienta empleada históricamente por Lazarus. Esta nueva versión recopila información detallada sobre el entorno de seguridad de los equipos infectados y la cifra antes de enviarla a los atacantes. Como novedad, utiliza ML-KEM-1024, un mecanismo criptográfico poscuántico diseñado para resistir futuros ataques de ordenadores cuánticos.
Para Sojun Ryu, investigador sénior de seguridad del equipo GReAT de Kaspersky, "Lazarus continúa ampliando sus operaciones, lanzando nuevas campañas al tiempo que introduce nuevas herramientas y modifica otras ya conocidas para adaptarlas a sus necesidades", afirma el experto, que destaca especialmente la adopción de tecnologías criptográficas preparadas para amenazas cuánticas futuras.
Ante este escenario, Kaspersky recomienda reforzar la formación de los empleados frente al spear phishing, mantener actualizado el software corporativo, limitar los privilegios de usuario y monitorizar las conexiones con servicios en la nube que puedan ser utilizados como canales de mando y control por los atacantes.
