Kaspersky’nin Global Araştırma ve Analiz Ekibi (GReAT), Endonezya’nın Bali kentinde düzenlenen Security Analyst Summit’te, Lazarus APT grubuyla ilişkilendirilen bir siber casusluk kampanyası olan Operation FlashHole’a ilişkin bulgularını paylaştı. En az Temmuz 2025’ten bu yana aktif olan kampanya, Güney Kore’de inşaat, yazılım ve kablolu iletişim ekipmanları üretimi sektörlerinde faaliyet gösteren en az üç kuruluşu etkiledi. Saldırganlar hedef odaklı oltalama e-postalarından ve meşru CrossWeb EX yazılımından yararlanırken, daha önce belgelenmemiş araçların da aralarında bulunduğu güncellenmiş zararlı yazılımları devreye aldı.
Kaspersky GReAT, söz konusu operasyonun Lazarus’un ilk kez geçtiğimiz yıl tespit edilen Operation SyncHole harekâtıyla bağlantılı yeni bir saldırı dalgası olduğunu ortaya koydu. Tehdit aktörleri araç ve tekniklerini zaman içinde geliştirerek harekâtı çok daha kalıcı ve gelişmiş bir yapıya kavuşturdu.
Araştırmacılar, harekât kapsamında komuta ve kontrol (C2) kanalı olarak istismar edilen bir GitHub hesabıyla bağlantılı bir GitHub Pages web sitesi keşfetti. Eylül 2025’te açılan bu hesap, başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte bir öz geçmiş sitesine ev sahipliği yapıyordu. Bu yem, Lazarus’un iş arama temalı imzası niteliğindeki Operation DreamJob yaklaşımıyla birebir örtüşüyor. Sayfada sahte iş arayana ait yapay zekâ ile üretilmiş bir portre fotoğrafının yer alması, saldırganların siteleri hedeflere özel uyarlarken yapay zekâdan yararlandığını gösterdi. Harekât; hedef alınan kişilere özel olarak kurgulanmış portföy ve öz geçmiş sitelerine yönlendiren bağlantıların yer aldığı hedefli oltalama e-postalarıyla başlatıldı.
Araştırma bulguları, kötü amaçlı sitenin ziyaret edilmesinin, Güney Kore’de yaygın kullanılan bir güvenlik eklentisi ve web kimlik doğrulama yazılımı olan CrossWeb EX üzerinden bir bulaşma zincirini tetikleme ihtimalinin yüksek olduğunu gösteriyor. Saldırı, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve saldırganlara ilk sızma noktasını sağlamış olabilir. Daha önce de bu finansal güvenlik yazılımında bir zafiyet bulunduğunu doğrulayan bir güvenlik bildirimi yayımlanmıştı.
Kapsamlı analizler sonucunda çok sayıda zararlı yük (payload) tespit eden araştırmacılar, bulaşma zincirini yeniden yapılandırarak sofistike bir zararlı yazılım dağıtım altyapısını ve hedef sistemlerdeki izleri gizlemeye yarayan gelişmiş teknikleri ortaya çıkardı.
Saldırganlar, mevcut zararlı yazılımlarının güncel sürümlerini daha önce belgelenmemiş iki yeni araçla —TouchHub ve ClientHub— harmanladı. Bu bileşenler; hedeflenen bilgisayarlara ilave zararlı yazılımlar yüklüyor, komutlar çalıştırıyor ve saldırganlarla iletişimi sürdürüyor. Yeni araçlardan birinin, operatörleriyle iletişim kurmak için Dropbox platformundan yararlanan bir varyantı da bulunuyor.
Kampanyada ayrıca, Lazarus grubunun uzun süredir kullandığı ve ele geçirilen bilgisayarlar hakkında bilgi toplayarak ek zararlı yazılımlar yükleyen LPEClient aracının güncellenmiş bir sürümüne rastlandı. Yeni sürüm; sistemlerde yüklü güvenlik yazılımları, Windows güvenlik korumaları ve diğer sistem özellikleri hakkında bilgi topluyor. Ardından bu verileri sıkıştırıp şifreleyerek saldırganlara gönderiyor.
Güncellenen LPEClient, gelecekteki kuantum bilgisayarların gerçekleştirebileceği olası saldırılara karşı iletişimi korumak amacıyla tasarlanan kuantum sonrası bir kriptografik mekanizma olan ML-KEM-1024’ü kullanıyor. Araç, ek zararlı yazılımları indirmeden ve doğrudan bellek üzerinde çalıştırmadan önce saldırganların sunucusuyla şifreli bir bağlantı kurmak için bu mekanizmadan yararlanıyor. Ayrıca tespit edilmekten kaçınmak için bellek koruma ayarlarını değiştiriyor ve güvenlik araçlarının kullandığı izleme kancasını (hook) devre dışı bırakarak güvenlik izleme mekanizmalarını aşmaya çalışıyor.
Sojun Ryu, “Lazarus, faaliyet alanını genişletmeye devam ediyor. Grup, yeni kampanyalar başlatırken ihtiyaçlarına göre yeni araçlar geliştiriyor ve mevcut araçlarını yeniden düzenliyor. Operation FlashHole analizimiz ve önceki araştırmalarımız, grubun uzun süredir kullandığı saldırı yöntemlerine yapay zekâyı da dâhil etmeye başladığını gösteriyor. Lazarus’la bağlantılı diğer tehdit aktörlerinde de benzer bir değişim gözlemliyoruz. Daha yakından incelenmesi gereken bir diğer konu ise grubun gelecekteki kuantum tehditlerine dayanıklı olacak şekilde tasarlanan kriptografik yöntemleri benimsemesi. Bulgularımız, bu teknolojinin en az Eylül 2024’ten bu yana kullanıldığını ortaya koyuyor. Bu da söz konusu yeteneklerin, bulgularımız kamuoyuyla paylaşılmadan bir yıldan uzun süre önce grubun zararlı yazılım iletişimini korumak için devrede olduğunu gösteriyor.” dedi.
Araştırmanın tamamına Securelist.com üzerinden ulaşılabilir.
Kaspersky, kuruluşların Operation FlashHole gibi Lazarus saldırılarına karşı korunmak için şu uygulamaları hayata geçirmesini öneriyor:
Çalışanları hedef odaklı oltalama girişimlerini tanımaları için eğitin. Profesyonel ve inandırıcı görünen web sitelerine yönlendirenler dâhil olmak üzere, beklenmedik e-postaları ve bağlantıları doğrulayın. Şüpheli mesajların güvenlik ekibine bildirilmesini sağlayın.
Yazılımları güncel tutun ve güvenlik yamalarını gecikmeden uygulayın. İş açısından kritik uygulamalardaki güvenlik açıklarını düzenli olarak değerlendirin. Saldırganların bu açıklardan yararlanma riskini azaltmak için gereksiz bileşenleri devre dışı bırakın.
Kullanıcı yetkilerini sınırlandırın ve bulut hizmetlerine yönelik bağlantıları izleyin. Bu hizmetlerin komuta-kontrol iletişimi amacıyla kötüye kullanılabileceğini göz önünde bulundurun.
Kuruluşunuzu Operation FlashHole’da kullanılan araçlar da dâhil olmak üzere çeşitli tehditlere karşı korumak için Kaspersky Next ürün ailesinden yararlanın. Bu ürün ailesi; gerçek zamanlı koruma, tehdit görünürlüğü, olay inceleme ve EDR ile XDR çözümlerinin sunduğu müdahale olanaklarını sağlar. Mevcut ihtiyaçlarınıza uygun ürün seviyesini seçebilir, siber güvenlik gereksinimleriniz değiştiğinde başka bir seviyeye kolayca geçebilirsiniz.
Kaspersky’nin Yönetilen Güvenlik Hizmetlerinden yararlanın. Bu hizmetler arasında Compromise Assessment, Managed Detection and Response (MDR) ve/veya Incident Response bulunuyor. Bu hizmetler, tespit edilmesi zor siber saldırılara karşı korunmaya ve güvenlik olaylarının incelenmesine yardımcı olur. Ayrıca kendi bünyesinde yeterli sayıda siber güvenlik uzmanı bulunmayan kuruluşlara ek uzmanlık desteği sağlar.
Bilgi güvenliği ekiplerinizin kuruluşunuzu hedef alan siber tehditleri kapsamlı biçimde görebilmesini sağlayın. Kaspersky Threat Intelligence, olay yönetiminin tüm aşamalarında kapsamlı ve anlamlı tehdit bağlamı sunarak siber risklerin zamanında belirlenmesine yardımcı olur.
2008 yılında kurulan Global Araştırma ve Analiz Ekibi (GReAT), Kaspersky’nin araştırma faaliyetlerinin merkezinde yer alıyor. Ekip, dünya genelindeki gelişmiş kalıcı tehditleri (APT), siber casusluk kampanyalarını, büyük çaplı zararlı yazılım ve fidye yazılımı tehditlerini ve yeraltı siber suç dünyasındaki eğilimleri ortaya çıkarıyor. Bugün Avrupa, Rusya, Latin Amerika, Asya ve Orta Doğu’da görev yapan 35’ten fazla uzmandan oluşan GReAT, zararlı yazılım araştırmaları ve yenilikleri alanında şirkete liderlik ediyor. Ekipteki güvenlik uzmanları, siber tehditlerin keşfedilmesi ve analiz edilmesi için derin bir uzmanlık, tutku ve merakla çalışıyor.
Kaspersky, 1997 yılında kurulmuş küresel bir siber güvenlik ve dijital gizlilik şirketidir. Bugüne kadar bir milyardan fazla cihazı yeni ortaya çıkan siber tehditlere ve hedefli saldırılara karşı koruyan Kaspersky’nin derin tehdit istihbaratı ve güvenlik uzmanlığı, dünyanın dört bir yanındaki bireyleri, işletmeleri, kritik altyapıları ve devletleri korumak için sürekli olarak yenilikçi çözümlere ve hizmetlere dönüşüyor. Şirketin kapsamlı güvenlik portföyü, kişisel cihazlar için lider dijital yaşam koruması, şirketler için özel güvenlik ürünleri ve hizmetlerinin yanı sıra sofistike ve gelişen dijital tehditlerle mücadele etmek için Cyber Immune çözümlerini içeriyor. Milyonlarca bireyin ve yaklaşık 200.000 kurumsal müşterinin kendileri için en önemli şeyleri korumalarına yardımcı oluyoruz. www.kaspersky.com adresinde daha fazla bilgi edinebilirsiniz.
