Kaspersky Ungkap Operasi Spionase Siber Lazarus di Korea Selatan

Kampanye spionase siber Operasi FlashHole yang dikaitkan dengan kelompok peretas Lazarus telah menyasar sedikitnya tiga organisasi di Korea Selatan sejak Juli 2025. Tim Riset dan Analisis Global Kaspersky (GReAT) mengungkap serangan tersebut menargetkan sektor konstruksi, perangkat lunak, dan manufaktur peralatan komunikasi kabel.

Dilansir dari Medcom, operasi ini menggabungkan teknik spear-phishing, eksploitasi potensi kerentanan perangkat lunak autentikasi CrossWeb EX, serta penyebaran malware terbaru. Para penyerang juga memanfaatkan situs portofolio dan riwayat hidup palsu untuk menjebak korban.

Situs tersebut dibuat melalui GitHub Pages dengan menampilkan foto pencari kerja hasil kecerdasan buatan (AI). Kontennya disesuaikan dengan profil individu yang menjadi sasaran, mengikuti pola serangan bertema pekerjaan yang sebelumnya dikenal melalui Operasi DreamJob milik Lazarus.

Selain memperbarui teknik rekayasa sosial, kelompok tersebut memperkenalkan dua perangkat berbahaya yang sebelumnya belum terdokumentasikan, yakni TouchHub dan ClientHub. Keduanya digunakan untuk memasang malware tambahan, menjalankan perintah pada komputer korban, serta menghubungkan perangkat terinfeksi dengan server penyerang.

Peneliti juga menemukan pembaruan pada LPEClient, perangkat pengumpul informasi yang digunakan untuk mengambil detail perlindungan sistem sebelum mengirimkannya kepada pelaku. Salah satu perubahan penting adalah penggunaan mekanisme kriptografi pasca-kuantum ML-KEM-1024 untuk mengamankan komunikasi malware.

Sojun Ryu, peneliti keamanan senior Kaspersky GReAT, menjelaskan bahwa Lazarus terus mengembangkan perangkat dan metode operasinya untuk mendukung berbagai kebutuhan serangan.

"Lazarus terus memperluas operasinya, meluncurkan kampanye baru sambil memperkenalkan alat-alat baru dan memodifikasi alat-alat yang sudah ada untuk memenuhi kebutuhannya," ujar Sojun Ryu, peneliti keamanan senior Kaspersky GReAT.

Ia juga mengungkapkan bahwa penggunaan AI mulai melengkapi strategi serangan yang sebelumnya telah digunakan kelompok tersebut. Temuan itu diperoleh melalui analisis Operasi FlashHole dan perbandingan dengan bukti investigasi terdahulu.

"Analisis kami terhadap Operasi FlashHole, bersama dengan bukti dari investigasi sebelumnya, menunjukkan bahwa kelompok ini juga memasukkan AI ke dalam strategi lamanya, sebuah pergeseran yang telah kami amati di antara aktor ancaman lain yang bersekutu dengan Lazarus," ujar Sojun Ryu.

Menurut Ryu, penerapan kriptografi yang dirancang untuk menghadapi ancaman komputasi kuantum juga menjadi bagian penting dari perkembangan kemampuan Lazarus. Investigasi Kaspersky menemukan indikasi penggunaannya setidaknya sejak September 2024.

"Yang patut mendapat perhatian lebih adalah adopsi kriptografi oleh Lazarus yang dirancang untuk menahan ancaman kuantum di masa depan. Temuan kami menelusuri penggunaannya setidaknya sejak September 2024, menunjukkan bahwa kemampuan ini telah melindungi komunikasi malware kelompok tersebut lebih dari setahun sebelum pengungkapan ini," ujar Sojun Ryu.

Untuk mengurangi risiko serangan serupa, Kaspersky merekomendasikan organisasi memberikan edukasi kepada karyawan mengenai identifikasi phishing. Perusahaan juga menyarankan pembaruan patch keamanan secara rutin, pembatasan hak akses pengguna, serta penerapan sistem perlindungan terintegrasi seperti Endpoint Detection and Response (EDR) dan Extended Detection and Response (XDR).