Các chuyên gia Kaspersky phát hiện Operation FlashHole, chiến dịch gián điệp mạng được cho là do nhóm Lazarus thực hiện từ tháng 7/2025, nhắm vào ít nhất ba tổ chức thuộc lĩnh vực xây dựng, phần mềm và thiết bị viễn thông tại Hàn Quốc. Đáng chú ý, chiến dịch kết hợp email lừa đảo có chủ đích, phần mềm hợp pháp và các công cụ mã độc mới, trong đó có kỹ thuật mã hóa được thiết kế để chống lại những nguy cơ từ máy tính lượng tử.
Tại Hội nghị Thượng đỉnh Phân tích bảo mật (Security Analyst Summit) tổ chức ở Bali, Indonesia, Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) của Kaspersky công bố kết quả điều tra Operation FlashHole, chiến dịch tấn công được quy kết cho nhóm tin tặc Lazarus APT. Theo các nhà nghiên cứu, hoạt động này đã được triển khai từ tháng 7/2025 và vẫn tiếp diễn tại thời điểm công bố, với ít nhất ba tổ chức, doanh nghiệp ở Hàn Quốc bị ảnh hưởng.
Chiến dịch cho thấy Lazarus tiếp tục thay đổi phương thức xâm nhập, kết hợp các công cụ từng được sử dụng với những thành phần mã độc mới nhằm duy trì quyền truy cập vào hệ thống mục tiêu. Bên cạnh FlashHole, Kaspersky còn ghi nhận một đợt hoạt động mới liên quan đến Operation SyncHole, cho thấy nhóm này tiếp tục phát triển kỹ thuật và nâng cấp công cụ tấn công.
Lừa đảo qua email, lợi dụng phần mềm hợp pháp để xâm nhập
Theo Kaspersky, Operation FlashHole mở đầu bằng các email lừa đảo có chủ đích (spear-phishing) được thiết kế riêng cho từng mục tiêu. Nội dung thường dẫn người nhận đến những trang hồ sơ năng lực hoặc CV giả mạo, tạo cảm giác đây là thông tin tuyển dụng hay cơ hội nghề nghiệp đáng tin cậy.
Trong quá trình điều tra, các chuyên gia phát hiện một trang web lưu trữ trên GitHub Pages, liên kết với tài khoản GitHub được tạo vào tháng 9/2025. Tài khoản này ban đầu chứa trang CV giả của một nhà phát triển cấp cao trong lĩnh vực thiết bị mạng, phù hợp với kịch bản dụ nạn nhân vốn xuất hiện trong chiến dịch DreamJob của Lazarus.
Đáng chú ý, trang web sử dụng hình ảnh do trí tuệ nhân tạo (AI) tạo ra để xây dựng hình tượng ứng viên tìm việc. Kaspersky nhận định AI có thể đã được sử dụng để điều chỉnh nội dung và hình thức trang web theo đặc điểm của từng đối tượng, qua đó tăng mức độ thuyết phục của chiến dịch lừa đảo.
Các nhà nghiên cứu cũng xác định phần mềm CrossWeb EX có khả năng liên quan đến quá trình xâm nhập ban đầu. Đây là phần mềm xác thực web và hỗ trợ bảo mật được sử dụng tại Hàn Quốc. Theo kết quả điều tra, một lỗ hổng trong phần mềm này có thể đã tạo điều kiện để kẻ tấn công khởi động chuỗi lây nhiễm. Trước đó, cơ quan chức năng cũng từng cảnh báo về lỗ hổng trong phần mềm bảo mật tài chính nói trên.
Thông qua phân tích mã độc và tái dựng các bước tấn công, nhóm GReAT xác định Lazarus sử dụng nhiều thành phần phối hợp để phát tán mã độc, thực thi lệnh và che giấu hoạt động bất thường trên hệ thống bị xâm nhập.
Hai công cụ mã độc mới phục vụ hoạt động gián điệp
Một phát hiện nổi bật trong Operation FlashHole là sự xuất hiện của TouchHub và ClientHub, hai công cụ chưa từng được ghi nhận trước đó trong các phân tích mà Kaspersky công bố.
Các công cụ này có khả năng triển khai thêm mã độc, thực thi lệnh trên máy tính bị xâm nhập và duy trì liên lạc với hệ thống điều khiển của kẻ tấn công. Một biến thể trong bộ công cụ còn sử dụng Dropbox làm kênh liên lạc, cho thấy các dịch vụ đám mây thông dụng có thể bị lợi dụng để che giấu hoạt động điều khiển mã độc.
Bên cạnh những thành phần mới, Lazarus tiếp tục sử dụng LPEClient, công cụ quen thuộc được nhóm này triển khai để thu thập thông tin hệ thống và tải thêm mã độc. Phiên bản mới được phát hiện có khả năng kiểm tra phần mềm bảo mật đã cài đặt, các cơ chế phòng vệ của Windows cùng những đặc điểm khác của máy tính mục tiêu.
Dữ liệu thu thập được sẽ được nén và mã hóa trước khi chuyển đến kẻ tấn công. Những thông tin này có thể giúp đối tượng đánh giá môi trường hoạt động, nhận diện các cơ chế bảo vệ đang hiện diện và lựa chọn phương thức tấn công tiếp theo.
Mã hóa hậu lượng tử xuất hiện trong công cụ của Lazarus
Đáng chú ý hơn, phiên bản LPEClient mới được phân tích sử dụng ML-KEM-1024, một cơ chế thiết lập khóa mật mã thuộc nhóm thuật toán được thiết kế để tăng khả năng bảo vệ thông tin liên lạc trước nguy cơ từ máy tính lượng tử trong tương lai.
Theo kết quả nghiên cứu, công cụ sử dụng cơ chế này để thiết lập kết nối được mã hóa với máy chủ điều khiển, sau đó tải xuống và thực thi mã độc bổ sung trực tiếp trong bộ nhớ. Cách triển khai này giúp giảm dấu vết của một số thành phần mã độc trên hệ thống lưu trữ.
LPEClient còn áp dụng các kỹ thuật nhằm né tránh hoạt động giám sát an ninh, bao gồm thay đổi cơ chế bảo vệ bộ nhớ và vô hiệu hóa những điểm giám sát có thể được công cụ bảo mật sử dụng để phát hiện hành vi đáng ngờ.
Ông Sojun Ryu, chuyên gia nghiên cứu bảo mật cấp cao tại Kaspersky GReAT, cho biết Lazarus đang tiếp tục mở rộng hoạt động, đồng thời phát triển công cụ mới và điều chỉnh những thành phần đã sử dụng để phù hợp với từng mục tiêu.
Theo ông, kết quả phân tích Operation FlashHole, kết hợp với dữ liệu từ những cuộc điều tra trước đây, cho thấy nhóm này đang đưa AI vào các phương thức tấn công quen thuộc. Việc sử dụng các kỹ thuật mật mã hướng đến khả năng chống chịu trước những nguy cơ từ máy tính lượng tử cũng là một diễn biến đáng lưu ý.
Kaspersky cho biết các bằng chứng điều tra cho thấy Lazarus đã sử dụng công nghệ mật mã này ít nhất từ tháng 9/2024. Điều đó đồng nghĩa với việc một số kênh liên lạc giữa các thành phần mã độc của nhóm có thể đã được bảo vệ bằng cơ chế mã hóa nói trên hơn một năm trước khi phát hiện được công bố.
Doanh nghiệp cần tăng cường phòng vệ trước các chiến dịch có chủ đích
Từ những phát hiện của Operation FlashHole, Kaspersky khuyến nghị doanh nghiệp tăng cường bảo vệ hệ thống theo nhiều lớp, thay vì chỉ dựa vào một giải pháp bảo mật riêng lẻ.
Trước hết, nhân viên cần được đào tạo để nhận biết email lừa đảo có chủ đích, đặc biệt là những thông điệp được cá nhân hóa hoặc dẫn đến các trang web có giao diện chuyên nghiệp. Các đường dẫn và tệp đính kèm bất ngờ cần được kiểm tra trước khi mở, đồng thời những dấu hiệu đáng ngờ phải được báo cáo kịp thời cho bộ phận phụ trách an toàn thông tin.
Doanh nghiệp cũng cần cập nhật phần mềm thường xuyên, triển khai các bản vá bảo mật và đánh giá định kỳ những lỗ hổng trong ứng dụng quan trọng. Việc vô hiệu hóa các thành phần không cần thiết, giới hạn quyền truy cập theo nguyên tắc đặc quyền tối thiểu và giám sát kết nối đến những dịch vụ đám mây có thể bị lợi dụng làm máy chủ điều khiển sẽ giúp giảm nguy cơ xâm nhập.
Đối với hoạt động giám sát chuyên sâu, các tổ chức có thể cân nhắc triển khai giải pháp phát hiện và ứng phó tại điểm cuối (EDR), phát hiện và ứng phó mở rộng (XDR), cùng những dịch vụ như đánh giá mức độ xâm nhập, phát hiện và ứng phó được quản lý (MDR) hoặc ứng phó sự cố. Những công cụ và dịch vụ này hỗ trợ phát hiện dấu hiệu xâm nhập, điều tra diễn biến tấn công và cải thiện khả năng phản ứng khi xảy ra sự cố.
Kaspersky đồng thời giới thiệu các giải pháp thuộc dòng Kaspersky Next và dịch vụ Threat Intelligence nhằm hỗ trợ doanh nghiệp giám sát mối đe dọa, đánh giá rủi ro và xây dựng phương án bảo vệ phù hợp với môi trường vận hành.
Phát hiện về Operation FlashHole cho thấy các chiến dịch gián điệp mạng ngày càng kết hợp nhiều phương thức, từ khai thác lỗ hổng phần mềm và kỹ thuật lừa đảo cá nhân hóa đến sử dụng AI, dịch vụ đám mây và cơ chế mã hóa mới. Với doanh nghiệp, việc duy trì cập nhật bảo mật, kiểm soát truy cập và giám sát liên tục sẽ đóng vai trò quan trọng trong giảm thiểu nguy cơ bị xâm nhập.
Báo cáo nghiên cứu đầy đủ về chiến dịch Operation FlashHole được Kaspersky đăng tải trên Securelist.