Kaspersky, Lazarus’un yapay zeka ve kuantum sonrası şifrelemeli saldırısını buldu

Kaspersky, gelişmiş kalıcı tehdit (APT) grubu Lazarus ile ilişkilendirilen, yapay zeka ve kuantum sonrası şifreleme teknolojilerinin kullanıldığı yeni bir siber casusluk kampanyası tespit etti.

Şirketten yapılan açıklamaya göre, Kaspersky'nin Global Araştırma ve Analiz Ekibi (GReAT), Endonezya'nın Bali kentinde düzenlenen Security Analyst Summit'te "Operation FlashHole" adı verilen kampanyaya ilişkin araştırma bulgularını paylaştı.

Temmuz 2025'ten bu yana aktif olduğu belirlenen kampanyadan, Güney Kore'de inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerinde faaliyet gösteren en az üç kuruluş etkilendi.

Araştırmada, saldırganların hedef odaklı oltalama e-postaları, sahte öz geçmiş siteleri ve meşru CrossWeb EX yazılımından yararlanarak sistemlere sızmaya çalıştığı belirlendi.

Saldırganların, hedeflerine özel hazırladıkları internet sitelerinde yapay zekayla oluşturulmuş portre fotoğrafları kullandığı tespit edildi. Kampanya kapsamında, saldırganlarla iletişimi sürdürmek ve ele geçirilen sistemlere ek zararlı yazılımlar yüklemek amacıyla geliştirilen "TouchHub" ve "ClientHub" adlı iki yeni araç da ortaya çıkarıldı.

Araştırmacılar, ayrıca Lazarus grubunun uzun süredir kullandığı "LPEClient" adlı zararlı yazılımın güncellenmiş sürümünde, gelecekteki kuantum bilgisayar saldırılarına karşı dayanıklı olacak şekilde tasarlanan "ML-KEM-1024" şifreleme mekanizmasının kullanıldığını belirledi.

Söz konusu teknolojinin, saldırganların sunucularıyla kurulan iletişimin şifrelenmesinde kullanıldığı ve zararlı yazılımların güvenlik sistemleri tarafından tespit edilmesini zorlaştıran tekniklerle birlikte uygulandığı kaydedildi.

Kaspersky, kuruluşlara bu tür saldırılara karşı çalışanlarını hedef odaklı oltalama girişimleri konusunda eğitmelerini, yazılımlarını güncel tutmalarını, kullanıcı yetkilerini sınırlandırmalarını ve bulut hizmetlerine yönelik bağlantıları izlemelerini önerdi.

"Lazarus, faaliyet alanını genişletmeye devam ediyor"

Açıklamada görüşlerine yer verilen Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, Lazarus grubunun yeni kampanyalar başlatırken ihtiyaçlarına göre yeni araçlar geliştirdiğini ve mevcut araçlarını yeniden düzenlediğini belirtti.

Grubun saldırı yöntemlerini teknolojik gelişmelere paralel olarak değiştirdiğine dikkati çeken Ryu, "Operation FlashHole analizimiz ve önceki araştırmalarımızdan elde ettiğimiz bulgular, grubun uzun süredir kullandığı saldırı yöntemlerine yapay zekayı da dahil etmeye başladığını gösteriyor. Lazarus'la bağlantılı diğer tehdit aktörlerinde de benzer bir değişim gözlemliyoruz." değerlendirmelerinde bulundu.

Ryu, grubun kuantum sonrası kriptografik yöntemleri benimsemesinin de dikkatle incelenmesi gerektiğini vurgulayarak, "Bulgularımız, bu teknolojinin en az Eylül 2024'ten bu yana kullanıldığını ortaya koyuyor. Bu da söz konusu yeteneklerin, bulgularımız kamuoyuyla paylaşılmadan bir yıldan uzun süre önce grubun zararlı yazılım iletişimini korumak için devrede olduğunu gösteriyor." ifadelerini kullandı.