Hoạt động từ tháng 7-2025 đến nay, chiến dịch đã gây ảnh hưởng đến ít nhất 3 tổ chức, doanh nghiệp thuộc lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc. Các đối tượng tấn công sử dụng hình thức lừa đảo có chủ đích qua email (spear-phishing), lợi dụng phần mềm CrossWeb EX hợp pháp và triển khai các phiên bản mã độc được cập nhật, trong đó có những công cụ chưa từng được ghi nhận trước đây.
Nhóm GReAT còn phát hiện một làn sóng tấn công mới liên quan đến Operation SyncHole của Lazarus. Kể từ lần đầu phát hiện vào năm ngoái, nhóm tội phạm đã tiếp tục nâng cấp công cụ và kỹ thuật, khiến chiến dịch trở nên dai dẳng và tinh vi hơn.
Trong quá trình điều tra, các chuyên gia của Kaspersky phát hiện trang web trên GitHub Pages kết nối với tài khoản GitHub được sử dụng làm máy chủ điều khiển và kiểm soát (C2).
Tài khoản này được tạo vào tháng 9-2025, ban đầu lưu trữ một trang web giới thiệu sơ yếu lý lịch (CV) giả mạo của một nhà phát triển thiết bị mạng cấp cao. Đây là kịch bản mồi nhử quen thuộc của chiến dịch DreamJob (Operation DreamJob) của Lazarus.
Trang web còn gắn hình ảnh do AI tạo ra, ngụy tạo một ứng viên đang tìm việc. Các chuyên gia Kaspersky nhận định, kẻ xấu còn sử dụng AI để thiết kế trang web giả mạo cho phù hợp với từng đối tượng mục tiêu. Chiến dịch “mở đường” bằng loạt email lừa đảo có chủ đích được thiết kế riêng cho từng đối tượng, chứa đường dẫn đến những trang web hồ sơ năng lực (portfolio) và CV giả mạo.
Kết quả nghiên cứu cho thấy, khả năng cao việc truy cập trang web độc hại đã khởi động quá trình lây nhiễm thông qua phần mềm CrossWeb EX - một phần mềm xác thực web và tiện ích bảo mật được sử dụng rộng rãi tại Hàn Quốc.
Lỗ hổng tiềm ẩn trong CrossWeb EX có thể đã trở thành điểm xâm nhập ban đầu, mở đường cho những kẻ tấn công xâm nhập hệ thống. Đáng chú ý, trước đó, cơ quan chức năng từng đưa ra thông báo xác nhận sự tồn tại lỗ hổng trong phần mềm bảo mật tài chính này.
Thông qua quá trình phân tích chuyên sâu, các chuyên gia đã nhận diện được nhiều mã độc và tái hiện toàn bộ chuỗi lây nhiễm. Kết quả cho thấy, kẻ tấn công sử dụng một hệ thống phát tán mã độc cùng các kỹ thuật tinh vi nhằm che giấu hoạt động độc hại trên những hệ thống được nhắm đến.
Ông Sojun Ryu, chuyên gia nghiên cứu bảo mật cấp cao tại Kaspersky, cho biết: “Qua phân tích về Operation FlashHole, cùng với bằng chứng từ các cuộc điều tra trước đây, chúng tôi nhận thấy nhóm này đưa AI vào phương thức hoạt động đã được duy trì từ lâu. Đáng chú ý hơn cả, Lazarus đang ứng dụng phương pháp mật mã được thiết kế để chống lại các mối đe dọa lượng tử trong tương lai. Kết quả điều tra cho thấy nhóm đã sử dụng công nghệ này ít nhất từ tháng 9-2024. Điều này đồng nghĩa với việc thông tin liên lạc giữa các mã độc của nhóm đã được bảo vệ từ hơn 1 năm trước khi phát hiện này được công bố”.
