Chiến dịch tấn công APT mới của nhóm tội phạm Lazarus, sử dụng AI và mã hóa hậu lượng tử

Tại Hội nghị Thượng đỉnh Phân tích bảo mật (Security Analyst Summit) ở Indonesia, Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) của Kaspersky đã công bố kết quả điều tra về Operation FlashHole, một chiến dịch gián điệp do nhóm tấn công Lazarus APT thực hiện.

Hoạt động từ tháng 7/2025 đến nay, chiến dịch này đã gây ảnh hưởng đến ít nhất 3 tổ chức, doanh nghiệp thuộc lĩnh vực xây dựng, phần mềm và sản xuất thiết bị viễn thông tại Hàn Quốc. Các đối tượng tấn công sử dụng hình thức lừa đảo có chủ đích qua email (spear-phishing), lợi dụng phần mềm CrossWeb EX hợp pháp và triển khai các phiên bản mã độc được cập nhật, trong đó có những công cụ chưa từng được ghi nhận trước đây.

Nhóm Nghiên cứu và Phân tích Toàn cầu Kaspersky GReAT còn phát hiện một làn sóng tấn công mới liên quan đến Operation SyncHole của Lazarus. Kể từ lần đầu phát hiện vào năm ngoái, nhóm tội phạm đã tiếp tục nâng cấp công cụ và kỹ thuật, khiến chiến dịch trở nên dai dẳng và tinh vi hơn.

Trong quá trình điều tra, các chuyên gia của Kaspersky phát hiện trang web trên GitHub Pages kết nối với tài khoản GitHub được sử dụng làm máy chủ điều khiển và kiểm soát (C2). Tài khoản này được tạo vào tháng 9/2025, ban đầu lưu trữ một trang web giới thiệu sơ yếu lý lịch (CV) giả mạo của một nhà phát triển thiết bị mạng cấp cao. Đây là kịch bản mồi nhử quen thuộc của chiến dịch DreamJob (Operation DreamJob) của Lazarus. Trang web còn gắn hình ảnh do AI tạo ra, ngụy tạo một ứng viên đang tìm việc. Các chuyên gia Kaspersky nhận định kẻ xấu còn sử dụng AI để thiết kế trang web giả mạo cho phù hợp với từng đối tượng mục tiêu. Chiến dịch “mở đường” bằng loạt email lừa đảo có chủ đích được thiết kế riêng cho từng đối tượng, chứa đường dẫn đến những trang web hồ sơ năng lực (portfolio) và CV giả mạo.

Kết quả nghiên cứu cho thấy khả năng cao việc truy cập trang web độc hại đã khởi động quá trình lây nhiễm thông qua phần mềm CrossWeb EX – một phần mềm xác thực web và tiện ích bảo mật được sử dụng rộng rãi tại Hàn Quốc. Lỗ hổng tiềm ẩn trong CrossWeb EX có thể đã trở thành điểm xâm nhập ban đầu, mở đường cho những kẻ tấn công xâm nhập hệ thống. Đáng chú ý, trước đó cơ quan chức năng từng đưa ra thông báo xác nhận sự tồn tại lỗ hổng trong phần mềm bảo mật tài chính này. Thông qua quá trình phân tích chuyên sâu, các chuyên gia đã nhận diện được nhiều mã độc và tái hiện toàn bộ chuỗi lây nhiễm. Kết quả cho thấy kẻ tấn công sử dụng một hệ thống phát tán mã độc tinh vi cùng các kỹ thuật tinh vi nhằm che giấu hoạt động độc hại trên những hệ thống bị nhắm đến. 

Kẻ tấn công kết hợp các phiên bản cập nhật của những mã độc đã sử dụng trước đây với hai công cụ chưa từng được ghi nhận: TouchHub và ClientHub. Bộ đôi này có khả năng cài đặt thêm mã độc, thực thi lệnh trên máy tính bị nhiễm và liên lạc với kẻ tấn công, phục vụ mục tiêu cuối cùng là hoạt động gián điệp mạng. Một trong hai công cụ mới còn có biến thể sử dụng dịch vụ Dropbox làm kênh liên lạc với bên điều khiển.

Chiến dịch còn tích hợp phiên bản cập nhật của LPEClient – công cụ quen thuộc của Lazarus chuyên dùng để thu thập thông tin về máy tính bị nhiễm độc và tải thêm mã độc. Phiên bản mới của LPEClient thu thập thông tin về phần mềm bảo mật đã cài đặt, các cơ chế bảo vệ của Windows và những đặc điểm khác của hệ thống. Sau đó, công cụ nén và mã hóa dữ liệu trước khi gửi đến kẻ xấu.

LPEClient phiên bản mới còn ứng dụng ML-KEM-1024 – cơ chế mật mã hậu lượng tử được thiết kế nhằm bảo vệ thông tin liên lạc trước nguy cơ bị tấn công bởi các máy tính lượng tử trong tương lai. Công cụ này dùng cơ chế trên để thiết lập kết nối mã hóa với máy chủ của kẻ tấn công, trước khi tải xuống và chạy trực tiếp mã độc bổ sung trong bộ nhớ. Để tránh bị phát hiện, LPEClient còn tìm cách vượt qua hoạt động giám sát bảo mật bằng cách thay đổi cơ chế bảo vệ bộ nhớ và vô hiệu hóa điểm giám sát mà các công cụ bảo mật sử dụng để nhận diện, phát hiện hoạt động đáng ngờ của hệ thống.

Ông Sojun Ryu, Chuyên gia nghiên cứu bảo mật cấp cao tại Kaspersky GReAT cho biết: “Nhóm tội phạm Lazarus tiếp tục mở rộng quy mô hoạt động, triển khai các chiến dịch mới, đồng thời phát triển công cụ mới và điều chỉnh những công cụ quen thuộc cho phù hợp với mục tiêu tấn công. Qua phân tích về Operation FlashHole, cùng với bằng chứng từ các cuộc điều tra trước đây, chúng tôi nhận thấy nhóm này đang đưa AI vào phương thức hoạt động đã được duy trì từ lâu. Đây là xu hướng chúng tôi từng quan sát thấy ở các nhóm tội phạm mạng khác liên minh với Lazarus. Đáng chú ý hơn cả, Lazarus đang ứng dụng các phương pháp mật mã được thiết kế để chống lại các mối đe dọa lượng tử trong tương lai. Kết quả điều tra cho thấy nhóm này đã sử dụng công nghệ đó ít nhất từ tháng 9/2024. Điều này đồng nghĩa với việc thông tin liên lạc giữa các mã độc của nhóm đã được bảo vệ từ hơn một năm trước khi phát hiện này được công bố.”

Để bảo vệ hệ thống trước các cuộc tấn công của Lazarus và những chiến dịch như Operation FlashHole, ngoài việc trang bị các giải pháp bảo mật tiên tiến, các tổ chức, doanh nghiệp được khuyến nghị nên tổ chức Đào tạo nhân viên nhận biết các hình thức tấn công lừa đảo nhắm mục tiêu – kiểm tra những email và đường dẫn bất ngờ, ngay cả khi chúng dẫn đến các trang web chuyên nghiệp, trông có vẻ đáng tin cậy, phải báo cáo ngay cho đội ngũ bảo mật nếu phát hiện tin nhắn đáng ngờ; Liên tục cập nhật phần mềm và cài đặt bản vá bảo mật – thường xuyên đánh giá lỗ hổng trong các ứng dụng quan trọng đối với hoạt động kinh doanh, đồng thời vô hiệu hóa những thành phần không cần thiết để giảm nguy cơ bị khai thác; Hạn chế quyền truy cập của người dùng và giám sát các kết nối đến dịch vụ đám mây có khả năng bị lợi dụng làm máy chủ điều khiển và kiểm soát.