Kaspersky, Lazarus grubunun yeni siber casusluk operasyonunu deşifre etti

Yapay Zekâ Destekli Oltalama YöntemleriSaldırganlar, hedef odaklı oltalama e-postaları ve CrossWeb EX adlı meşru yazılım aracılığıyla sistemlere sızıyor. GReAT uzmanları, bu operasyonun geçen yıl keşfedilen Operation SyncHole harekâtının bir devamı olduğunu ve saldırganların araçlarını sürekli geliştirerek daha kalıcı bir yapı kurduklarını ifade ediyor. Harekât kapsamında kullanılan bir GitHub sayfası, saldırganların yapay zekâ teknolojilerinden yararlandığını kanıtlıyor. Eylül 2025'te kurulan bu web sitesi, kıdemli bir ağ cihazı geliştiricisine ait sahte bir öz geçmişi barındırıyor. Sitede yer alan sahte iş arayana ait portre fotoğrafının yapay zekâ ile üretilmiş olması, Lazarus grubunun kurbanlarını kandırmak için bu teknolojiyi aktif olarak kullandığını gösteriyor.Güvenlik Yazılımındaki Zafiyetler Hedef AlınıyorAraştırmacılar, zararlı sitelerin ziyaret edilmesinin, Güney Kore’de yaygın kullanılan güvenlik eklentisi CrossWeb EX üzerinden bir bulaşma zinciri başlattığını tespit etti. Yazılımda daha önce de bir zafiyetin raporlanmış olması, saldırganların bu açığı bir giriş noktası olarak kullandığına işaret ediyor. Operasyon kapsamında TouchHub ve ClientHub isimli, daha önce belgelenmemiş iki yeni araç da gün yüzüne çıkarıldı. Bu araçlar, siber casusluk faaliyetlerini yürütmek, komut çalıştırmak ve ek zararlı yazılımlar indirmek için kullanılıyor.Kuantum Sonrası Şifreleme TeknolojisiLazarus grubu, ele geçirilen cihazlardan veri toplayan LPEClient aracının güncellenmiş bir sürümünü de devreye aldı. Bu yeni sürüm, özellikle dikkat çekici bir güvenlik katmanına sahip. İletişimi korumak için ML-KEM-1024 adı verilen ve gelecekteki kuantum bilgisayarların saldırılarına karşı dirençli olan, kuantum sonrası kriptografik bir mekanizma kullanılıyor. Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, grubun stratejisi hakkında şu bilgileri paylaştı: “Lazarus, faaliyet alanını genişletmeye devam ediyor. Grup, yeni kampanyalar başlatırken ihtiyaçlarına göre yeni araçlar geliştiriyor ve mevcut araçlarını yeniden düzenliyor. Operation FlashHole analizimiz ve önceki araştırmalarımızdan elde ettiğimiz bulgular, grubun uzun süredir kullandığı saldırı yöntemlerine yapay zekâyı da dâhil etmeye başladığını gösteriyor. (...) Bulgularımız, bu teknolojinin en az Eylül 2024’ten bu yana kullanıldığını ortaya koyuyor.”Kurumlar İçin Koruma ÖnerileriKaspersky, kurumların bu tür sofistike saldırılara karşı korunması için şu adımları öneriyor: * Çalışanların oltalama girişimlerine karşı farkındalık eğitimlerinden geçirilmesi. * Yazılımların güncel tutulması ve gereksiz bileşenlerin devre dışı bırakılması. * Kullanıcı yetkilerinin sınırlandırılması ve bulut hizmeti trafiğinin izlenmesi. * Kaspersky Next ürün ailesi, Kaspersky Threat Intelligence ve yönetilen güvenlik hizmetleri (MDR, Incident Response) aracılığıyla proaktif güvenlik önlemlerinin alınması. Araştırmanın tüm detaylarına Securelist.com adresi üzerinden erişim sağlanabiliyor.