Een nieuwe campagne van de aan Noord-Korea gelinkte Lazarus-groep laat zien hoe ver aanvallers kunnen gaan in het omzeilen van defensie. In Operation FlashHole richten zij zich op organisaties in Zuid-Korea, met als doel malware te plaatsen via (financiële) verplichte beveiligingssoftware. Opvallend is dat de aanvallers daarbij communicatie beschermen met post-quantum encryptie, bedoeld om ook toekomstige dreigingen voor te blijven.
Securitybedrijf Kaspersky koppelt de activiteit aan minstens drie sectoren in Zuid-Korea: bouw/infra, software en fabrikanten van apparatuur voor draadcommunicatie. De campagne is volgens Kaspersky al sinds minimaal juli 2025 actief en bouwt voort op een eerdere golf die in april 2025 werd beschreven als Operation SyncHole.
Van SyncHole naar FlashHole
In Operation SyncHole werd een kwetsbaarheid misbruikt in een beveiligingscomponent die gebruikers gebruiken voor online bankieren en overheidsportalen. Het ging om een fout in iniLINE Cross EX, onderdeel van een verplicht beveiligingsprogramma dat helpt bij de werking van security-software in verschillende browseromgevingen.
De exploit was ontworpen om een legitiem proces, SyncHost.exe, te starten en vervolgens code in dat proces te injecteren om de backdoor ThreatNeedle te laden. De keten bevatte bovendien laterale beweging via een (een-dag) kwetsbaarheid in de Innorix Agent file transfer-oplossing.
Bij Operation FlashHole verschuift Lazarus de focus: waar SyncHole Cross EX misbruikte, wordt nu INISAFE CrossWeb EX van Initech benaderd. Ook dit is een door gebruikers vereiste securitycomponent voor toegang tot bank- en overheidsdiensten.
Misbruik van verplichte security-software
In beide aanvallen is het uitgangspunt vergelijkbaar: de malware maakt gebruik van de kwetsbaarheid in de betreffende beveiligingssoftware om een uitvoerketen op te zetten. Dat gebeurt niet alleen met “standaard” downloaders, maar met een uitgebreid chain-of-execution-systeem dat payloads in het geheugen laat draaien.
Kaspersky beschrijft dat delen van de uitvoering bij de initiële infiltratie alleen in het geheugen plaatsvinden. Dat bemoeilijkt detectie, omdat niet alle stappen makkelijk terug te leiden zijn op basis van bestanden op schijf.
Complexe infectieketen met DLL sideloading
Voor FlashHole wijzen de bevindingen erop dat een bezoek aan een kwaadaardige website (veelal via spear-phishing) een proces in gang zet. De keten omvat onder andere het starten van een legitiem Windows-binaire bestand, fsquirt.exe, waarna een kwaadwillende DLL wordt geladen via DLL sideloading. Daarna wordt een tweede serie componenten opgehaald en uitgevoerd, opnieuw met nadruk op geheugenuitvoering.
Een deel van die keten begint bij het ophalen van extra malware van GitHub, inclusief een malwarefamilie die als “TouchHub” wordt beschreven. Vervolgens volgt de installatie van een tweede stage via een rogue DLL (genoemd TOUCHSHIFT en gelinkt aan een Windows-library zoals mscoree.dll), waarna verdere modules worden gedownload en geladen.
Wat is post-quantum encryptie hier?
De nieuwste variant van het malware-framework gebruikt ML-KEM-1024, een algoritme voor post-quantum encryptie, om een beveiligde verbinding met de aanvallersserver op te zetten. Pas nadat die versleutelde verbinding is opgebouwd, wordt extra malware gedownload en direct uitgevoerd in het geheugen.
Volgens Kaspersky is deze aanpak niet pas “heel recent” ingevoerd: de sporen gaan terug tot minimaal september 2024. Dat betekent dat de aanvallers de encryptie al gebruikten om hun communicatie te beschermen, ruim voordat het publiekelijk in verband werd gebracht met deze campagne.
Het doel daarvan is logisch: als klassieke cryptografie in de toekomst zwakker wordt onder quantumdreiging, blijft de praktische werking van de communicatie (en daarmee de operatie) langer bruikbaar.
Componenten in de malware-toolset
De analyse beschrijft meerdere modules die samen zorgen voor infectie, uitrol, profilering en uitbreiding. Een belangrijk onderdeel is Cubridge, een verbeterde versie van eerdere malware-varianten (met de functies van connectie met een command-and-controlserver en het downloaden van herbruikbare plugins en utilities). Hiermee kunnen aanvallers systeeminformatie verzamelen, commando’s uitvoeren en daarnaast bestanden en data uit webbrowsers stelen.
Daarnaast worden onder meer deze componenten genoemd:
- TechHub: een geavanceerde downloader die via GitHub extra payloads kan ophalen (zoals TouchHub en ClientHub) en ook informatie verzamelt over het apparaat en de actieve processen.
- TouchHub: beschreven als “parent installer” voor TouchShift.
- TouchShift: een droper die onder andere keyloggers en screenshotfunctionaliteit kan leveren, plus backdoors.
- ClientHub: een backdoor met varianten die via HTTPS of via een API-aanpak (Dropbox) communiceren met aanvallers. Uiteindelijk levert dit extra plugins en DLL’s.
- LPEClient: een tool voor victim profiling en payload delivery die al langer wordt ingezet (genoemd als actief sinds 2019).
Er wordt ook gesproken over een relatie met privilege escalation. In augustus 2026 ontdekte Check Point dat LPEClient na misbruik van een Windows-privilege escalation kwetsbaarheid (CVE-2026-68820) werd ingezet om een rootkit (FudModule) te plaatsen.
Waarom dit voor organisaties telt
Wat deze campagne extra relevant maakt, is het samenspel tussen gerichte initiële toegang en geavanceerde uitvoeringstechnieken. Door niet alleen “payloads te droppen”, maar ook legitieme processen te misbruiken, geheugenuitvoering te gebruiken en communicatie te versleutelen met post-quantum encryptie, wordt de detectie uitdagender.
Bovendien richt Lazarus zich specifiek op software die bedoeld is om bank- en overheidsverkeer te beveiligen. Dat zorgt voor een extra risico: wanneer zo’n beveiligingslaag zelf wordt ingezet voor malwaredelivery, verschuift de rol van “bescherming” naar “ingang”.
Wat kun je nu doen?
Omdat details over de exacte initiële vector van FlashHole niet volledig duidelijk zijn, is het verstandig om maatregelen te nemen die meerdere mogelijke ingangen afdekken: van e-mailphishing tot het blokkeren van misbruik van securitysoftware en het verscherpen van monitoring rond verdachte procesketens.
Concreet helpen de volgende acties:
- Patch en controleer kwetsbaarheden in (verplichte) financiële beveiligingssoftware en gerelateerde componenten. Focus op versies die in de analyses worden genoemd.
- Versterk awareness voor spear-phishing: let op links in e-mails die ogenschijnlijk aansluiten op iemands rol (zoals portfolio- of CV-pagina’s).
- Monitor proces- en DLL-gedrag rondom legitieme Windows-binaries die ongebruikelijk worden aangeroepen, zeker wanneer er sprake is van DLL sideloading.
- Let op geheugenuitvoering: als je EDR/XDR inzet, configureer alerts op verdachte “in-memory” patronen en netwerk-communicatie met onverwachte parameters.
- Maak incident response klaar voor datalek- en exfiltratie-scenario’s. In eerdere campagnes werd datavergaring beschreven richting dark-web leak locaties.
Wil je breder lezen over de rol van phishing en geënsceneerde webpagina’s, dan sluit dit aan op ons artikel over AI-fake login pages die account takeovers makkelijker maken.
En als je juist wilt focussen op hoe aanvallers via kwetsbaarheden in (security)componenten compromitteren, dan kan ook de aanpak rond NetScaler zero-days helpen om je patch- en detectiestrategie te scherpen.
Conclusie
Operation FlashHole laat zien dat Lazarus niet alleen blijft inzetten op Zuid-Koreaanse doelwitten, maar ook zijn deliverymechanismen verfijnt. Door kwetsbaarheden in verplichte securitysoftware te misbruiken en door communicatie te beschermen met post-quantum encryptie (ML-KEM-1024), wordt de aanval zowel stealthy als toekomstbestendig.
Voor defenders betekent dit: patchen waar mogelijk, monitoren op verdacht proces- en DLL-gedrag, en tijdig reageren op spear-phishing en webgebaseerde infecties. Zeker nu encryptie bedoeld voor post-quantum bescherming al zichtbaar is in concrete malwareketens.
Bron: https://thehackernews.com/2026/10/lazarus-abuses-south-korean-security.html
