Lazarus Güney Kore Güvenlik Yazılımını İstismararak Post-Quantum Şifrelemeyle Zararlı Yazılım Yayıyor.

Görsel Kaynağı: The Hacker News

Kuzey Kore bağlantılı Lazarus Grubu, inşaat, yazılım ve telgraf iletişim ekipmanı üretimi sektörlerinde en az üç kurumu hedefleyen, Operation FlashHole kod adlı siber istihbarat kampanyasına imza taşıyor.

Rus siber güvenlik şirketi Kaspersky’ye göre, kampanya en az Temmuz 2025’tiden beri aktif. Operasyon’un, Operation SyncHole’un kaldığı yerden devam ettiği değerlendiriliyor.

“Grup, mağdurları daha seçici bir şekilde hedefledi; her hedefe özel olarak uyarlanmış portföy ve özgeçmiş sayfaları gibi uydurma ancak alakalı sitelere yönlendiren iğne oluşturan (spear-phishing) e-postalar gönderdi.” Kaspersky GReAT’ten kıdemli güvenlik araştırmıcısı Sojun Ryu, kapsamlı bir analizinde şunları söyledi.

Operation SyncHole, Kaspersky tarafından ilk kez Nisan 2025’te belgelenmişti; Kasım 2024’tiden beri Kuzey Kore’nin devlet destekli rakibinin Güney Kore‘nin yazılım, bilişim, finans, yarı iletken üretimi ve telekomünikasyon sektörlerini, ThreatNeedle, AGAMEMNON, wAgent, SIGNBT ve COPPERHEDGE gibi zararlı yazılımları ulaştirmek için hedeflediği detaylandırıldı.

Saldırılar, zararlı yazılım dağıtımı için iniLINE Cross EX içindeki bir güvenlik açığının sömürülmesiyle karakterize ediliyordu. Cross EX, Güney Kore internet kullanıcılarının online bankacılık ve devlet hizmetlerine erişirken çeşitli ortam tarayıcılarında güvenlik yazılımını desteklemek için bilgisayarlarına kurmak zorunda oldukları zorunlu bir finansal güvenlik yazılımı programıdır.

Sömürülen açık, meşru “SyncHost.exe” sürecini başlatmak ve ThreatNeedle arka kapısını yüklemek için o sürece shellcode enjekte etmek üzere tasarlanmıştı. Saldırı zinciri, yatay harekât için Innorix Agent dosya aktarım çözümünün 9.2.18.496 sürümündeki bir one-day açığını da içeriyordu.

Operation FlashHole, önceki dalganın Güney Kore odaklı yazılımları hedefleyip açıklara girmesini sürdürüyor. SyncHole Cross EX’i sömürürken, FlashHole’un da ülkede online bankacılık ve devlet portallarına erişim için gerekli başka bir zorunlu finansal çözüm olan Initech’e ait INISAFE CrossWeb EX’i sömürdüğü tespit edildi.

iniLINE’ın web sitesine göre şirket, CrossWeb’i geliştirmek amacıyla 2010 yılından beri Initech ile stratejik bir ortaklığa girmiştir. Günümüzde Initech tarafından sertifika tabanlı kimlik doğrulama ve elektronik imza çözümü olarak pazarlanmaktadır.

Bu arada Lazarus Grubu’nun bu yazılımı hedeflerine ulaşmak için kötüye kullanma geçmişi uzun bir tarihe dayanır. 2021’in üçüncü çeyreğinde, DeathNote adını taşıyan uzun süredir devam eden bir kampanya ile bağlantılı olarak Racket adında bir indirici dağıtmak için kullanılmıştır.

2022 ile 2023 yılları arasında AhnLab ayrıca, tehdit aktörünün yazılımdaki bir güvenlik açığını istismararak sulama deliği saldırıları yoluyla DLL kötü amaçlı yazılımı (“SCSKAppLink.dll”) dağıttığı saldırıları ortaya koydu; DLL yükü, tehdit aktörü tarafından ele geçirilen IIS web sunucularından alındı.

“Grup önce Kore web sitelerini hackleyip sitenin sağladığı içeriği değiştiriyor,” AhnLab, Temmuz 2023 raporunda belirtti. “Hassas sürümü kullanan bir sistem, INISAFE CrossWeb EX V6, web tarayıcısı üzerinden bu siteyi ziyaret ettiğinde, Lazarus kötü amaçlı yazılımı (SCSKAppLink.dll) INISAFECrossWebEXSvc.exe açığı aracılığıyla dağıtım sitesinden kuruluyor.”

Bulgular, aynı zamanda Korea Internet and Security Agency (KISA) ile yerel siber güvenlik tedarikçilerinin Temmuz 2026’da yayımladığı ortak bir uyarının arka planında yer alıyor; bu uyarı, Lazarus Grubu’nu AnySign4PC gibi finansal güvenlik programlarındaki açıkları istismararak Struggle (diğer adıyla SIGNBT 3.0) ve Brandoor (diğer adıyla COPPERHEDGE) gibi arka kapı kötü amaçlı yazılımlarını dağıtmaya yönlendiriyor; kurbanlar spear-phishing ve sulama deliği teknikleriyle kötü amaçlı URL’lere yönlendiriliyor.

“Saldırganlar, sulama deliği ve spear-phishing saldırıları dahil çeşitli yöntemlerle hedefleri kötü amaçlı URL’lere erişmeye yönlendirdi, ardından açıkları istismararak nihayetinde arka kapı kötü amaçlı yazılımını kurdu,” AhnLab, kampanyaya Operation Double Barrel adını vererek belirtti.

FlashHole’un kesin ilk erişim vektörünün ne olduğu belirsiz olsa da, işaretler GitHub sayfalarında barındırılan kötü niyetli web sitelerine yönleniyor; bunlardan birinde, ileri düzey bir ağ cihazı geliştiricisinin özgeçmişinin yanı sıra muhtemelen yapay zekâ (AI) kullanılarak oluşturulduğu tahmin edilen bir profil fotoğrafı yer alıyordu.

Hedeflere, kötü niyetli siteye bağlantı içeren hedefli avlanma (spear-phishing) e-postaları gönderildiği ve bu siteyi ziyaret ettiğinde de CrossWeb EX’i tetikleyerek geçerli Windows ikili dosyası “fsquirt.exe”ni başlatan, ardından bu dosyanın TechHub adlı kötü niyetli bir DLL’i DLL önyükleme (sideloading) yoluyla çalıştırdığı bir bulaşma dizisinin oluştuğu düşünülüyor.

“Bulaşma zinciri oldukça karmaşık ve Lazarus Grubu’nun hedefteki bilgisayarlarda kullandığı gelişmiş operasyonel teknikleri ortaya koyuyor. Bu teknikler, kötü niyetli yüklerini, amaçlarını ve sofistike kötü niyetli yazılım dağıtım çerçevelerini gizliyor,” dedi Kaspersky.

“Önemlisi, aşağıdaki çalıştırma zinciri, ilk sızma sırasında yalnızca bellek içinde mevcut; bu da saldırganların ilk açıkları kullanma çabasını gizlemeye yönelik ciddi çabalarını vurguluyor.”

TechHub, kendi adına, GitHub’dan TouchHub adlı bir kötü niyetli yazılım indiriyor; bu da ikinci bir DLL’i önyükleyerek TOUCHSHIFT (“mscoree.dll”) olarak adlandırılan ve başka bir TechHub örneğinin bellek içindeki çalıştırmasını başlatarak kalıcılığı sağlayan kötü niyetli bir DLL yükü devreye sokuyor.

Bu ikinci TechHub örneği, bellek içine indirmek ve yüklemek için ClientHub olarak bilinen başka bir kötü niyetli yazılım ailesini indiriyor. LPEClient, çeşitli eklentileri, modülleri ve araçları indirmek için tasarlanmış kötü niyetli yazılım çerçevesinin orkestrasyon bileşeni Cubridge için bir aktarım aracı görevi görüyor.

Kötü niyetli yazılım araç seti hakkında ek ayrıntılar şöyle—

• TechHub, GitHub ile iletişim kurarak TouchHub ve ClientHub gibi ek yükler indirip cihaz ve çalıştırdığı süreçlerle ilgili bilgi toplayan CLOUDBURST ve NickelLoader indiricisinin gelişmiş sürümü.
• Cubridge, komut ve kontrol (C2) sunucusu ile iletişim kurabilen, tekrar kullanılabilir eklentiler, tek seferlik görevler için DLL yardımcı programları ve işlevselliğini genişleten ek modüller indirip sistemin kapsamlı bilgisini toplayabilen, komut çalıştırabilen ve dosya ile web tarayıcı verilerini çalabilen SIDESHOW ve LightlessCan’ın gelişmiş sürümü. Aynı zamanda CookiePlus’ın gelişmiş sürümü olarak da değerlendiriliyor.
• TouchHub, TouchShift’in üst kurucusu.
• TouchShift, anahtar kaydediciler, ekran görüntüsü yardımcı programları ve arka kapılar sağlayabilen bir malware indiricisi.
• ClientHub, daha önce belgelenmemiş bir arka kapı; saldırıyı yöneten bir sunucu ile HTTPS üzerinden iletişim kuran ve Dropbox API ile etkileşimde bulunan iki sürümü var. Malware’in nihai amacı, ek eklentiler ve DLL’ler yerleştirmek. Eklentiler malware’in ZIP arşivleri oluşturmasına, arama kalıbıyla eşleşen dosyaları toplamasına, belirli dosyaları silmesine ve yerel sürücü değişikliklerini izleyip toplanan durum bilgisini döndürmesine olanak tanıyor.
• LPEClient, 2019’dan beri kullanılan uzun süredir var olan hedef profil çıkarma ve yük teslim aracı.

Check Point, Ağustos 2026’da LPEClient’ın, Windows Ancillary Function Driver for WinSock’u etkileyen bir ayrıcalık yükseltme açığı olan CVE-2026-68820’nun sıfır-gün açığından yararlanılarak FudModule rootkit’ini yerleştirmek için kullanıldığını açıklamıştı.

Malware’in en son sürümünde dikkat çeken şey, bellek içinden ek malware indirip çalıştırmadan önce saldırıyı yöneten sunucu ile şifreli bir bağlantı kurmak için post-quantum (post-kuantum) kriptografik algoritması ML-KEM-1024’ü kullanması.

“Operation FlashHole, daha kapsamlı Cascade Hole kampanyasının en son dalgası olup, ülkeye yönelik zararlı yazılım yaymak için giriş noktası olarak Güney Kore yazılımının kullanılmasını içeriyor” dedi Kaspersky.

Siber güvenlik şirketi, Operation FlashHole’un ortaya çıkışının, COPPERHEDGE arka kapısını kullanarak Güney Kore’deki çeşitli kuruluşlara yönelik yeni bir saldırı dalgasıyla aynı tarihe denk geldiğini belirtti. En az bir vakada, arka kapı enfeksiyonunun, aynı dönemde Güney Kore kuruluşlarına yönelik yürütülen Gunra fidye yazılımı saldırılarına benzer biçimde verilerin ULOSE adlı bir karanlık web sızma sitesine aktarılmasına yol açmış olması söz konusu.

“Lazarus operasyonlarını genişletmeye devam ediyor; yeni kampanyalar başlatırken yeni araçlar tanıtıyor ve ihtiyaçlarına uyacak şekilde bilinen araçları yeniden düzenliyor” dedi Ryu, The Hacker News ile paylaştığı açıklamada.

“Daha yakın dikkate değer olan, Lazarus’un gelecekteki kuantum tehditlerine dayanacak şekilde tasarlanmış kriptografiyi benimsemesidir. Bulgularımız, kullanımını en az Eylül 2024’e iziyor ve bu yeteneklerin, bu açıklamadan bir yıldan fazla bir süre önce grubun zararlı yazılım iletişimlerini zaten koruduğunu gösteriyor.”