Lazarus Group lợi dụng phần mềm bảo mật Hàn Quốc để cài malware
"The Lazarus Group is exploiting vulnerabilities in South Korean financial security software, specifically Initech's INISAFE CrossWeb EX and previously iniLINE Cross EX, to deploy malware. The campaign, dubbed Operation FlashHole, builds upon previous operations like SyncHole and Double Barrel, utilizing spear-phishing and watering hole attacks. Malware families involved include ThreatNeedle, Struggle, Brandoor, and new variants like TouchHub and LPEClient."
Khai thác lỗ hổng phần mềm bảo mật có thể dẫn đến xâm nhập hệ thống và đánh cắp dữ liệu. Việc sử dụng mã độc tiên tiến như TouchHub và LPEClient cho thấy mức độ nguy hiểm cao.
Các doanh nghiệp Hàn Quốc, đặc biệt trong lĩnh vực tài chính và công nghệ, chịu thiệt hại về uy tín và mất mát dữ liệu. Các doanh nghiệp Việt Nam cần tăng cường bảo mật để phòng ngừa các cuộc tấn công tương tự.
Nhóm Lazarus, liên kết với Triều Tiên, đang khai thác lỗ hổng trong phần mềm bảo mật Hàn Quốc, cụ thể là INISAFE CrossWeb EX của Initech, để triển khai mã độc. Chiến dịch, có tên Operation FlashHole, tiếp nối các hoạt động trước đây như SyncHole và Double Barrel, sử dụng tấn công lừa đảo (spear-phishing) và nhiễm độc qua website (watering hole). Các họ mã độc liên quan bao gồm ThreatNeedle, Struggle, Brandoor, và các biến thể mới như TouchHub và LPEClient.
Kaspersky cho biết chiến dịch này hoạt động từ ít nhất tháng 7 năm 2025. Nhóm Lazarus nhắm mục tiêu các tổ chức ở Hàn Quốc trong các lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông. Họ gửi email lừa đảo với liên kết đến các trang web giả mạo, được thiết kế riêng cho từng mục tiêu.
Operation FlashHole tiếp tục xu hướng tấn công phần mềm tập trung vào Hàn Quốc. Trong khi SyncHole khai thác Cross EX, FlashHole lợi dụng INISAFE CrossWeb EX, một giải pháp bảo mật bắt buộc để truy cập dịch vụ ngân hàng trực tuyến và chính phủ. Initech và iniLINE đã hợp tác phát triển CrossWeb từ năm 2010.
Trước đó, từ năm 2022 đến 2023, AhnLab cũng phát hiện các cuộc tấn công khai thác lỗ hổng trong phần mềm này để phân phối malware SCSKAppLink.dll qua watering hole attacks. KISA và các nhà cung cấp bảo mật Hàn Quốc đã cảnh báo về việc Lazarus Group khai thác lỗ hổng trong các chương trình bảo mật tài chính như AnySign4PC để phân phối backdoor Struggle và Brandoor thông qua lừa đảo và watering hole attacks (Operation Double Barrel).
Vector tấn công ban đầu của FlashHole chưa rõ ràng, nhưng có dấu hiệu cho thấy các trang web độc hại được lưu trữ trên GitHub Pages. Các trang này có thể chứa hồ sơ giả mạo của nhân viên kỹ thuật, sử dụng ảnh được tạo bằng AI.
Câu hỏi thường gặp
Operation FlashHole là gì?
Operation FlashHole là một chiến dịch tấn công mạng do nhóm Lazarus thực hiện, nhắm mục tiêu vào các tổ chức ở Hàn Quốc bằng cách khai thác lỗ hổng trong phần mềm bảo mật INISAFE CrossWeb EX.
Các họ mã độc nào liên quan đến chiến dịch này?
Các họ mã độc liên quan đến Operation FlashHole bao gồm ThreatNeedle, Struggle, Brandoor, TouchHub và LPEClient. Các biến thể mới cũng được phát hiện.
Kỹ thuật tấn công nào được sử dụng?
Chiến dịch này sử dụng tấn công lừa đảo (spear-phishing) và nhiễm độc qua website (watering hole). Kỹ thuật DLL sideloading và mã độc chạy trong bộ nhớ cũng được sử dụng để che giấu hoạt động.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Lazarus Group liên tục nhắm mục tiêu vào các phần mềm bảo mật phổ biến ở Hàn Quốc cho thấy sự tập trung vào việc khai thác các điểm yếu trong chuỗi cung ứng phần mềm. Các doanh nghiệp Việt Nam sử dụng phần mềm tương tự cần tăng cường giám sát và vá lỗ hổng bảo mật. Điều đáng chú ý là việc sử dụng kỹ thuật DLL sideloading và mã độc chạy trong bộ nhớ cho thấy sự tinh vi của nhóm tấn công này.