Kaspersky: Lazarus Grubu Yeni Siber Casusluk Operasyonunu Başlattı

Yapay Zekâ Destekli Oltalama

Saldırganlar, hedef odaklı oltalama e-postaları ve meşru bir yazılım olan CrossWeb EX üzerinden yeni zararlı kodlar dağıttı. Araştırmacılar, bu operasyonun geçen yıl keşfedilen Operation SyncHole’un devamı niteliğinde olduğunu ve Lazarus grubunun tekniklerini geliştirerek daha kalıcı bir yapıya büründüğünü belirtti.

Eylül 2025’te yayına alınan bir GitHub Pages sitesinin, komuta ve kontrol (C2) kanalı olarak kullanıldığı belirlendi. “Operation DreamJob” yaklaşımıyla uyumlu şekilde, kıdemli bir ağ cihazı geliştiricisine ait sahte bir öz geçmiş sitesi olarak kurgulanan sayfada, yapay zekâ ile oluşturulmuş portre fotoğrafları kullanıldı. Bu durum, saldırganların hedef odaklı içerik üretirken yapay zekâ teknolojilerinden aktif olarak yararlandığını kanıtladı.

Güvenlik Yazılımlarında Zafiyet İstismarı

Bulaşma sürecinin, Güney Kore’de yaygın olarak tercih edilen CrossWeb EX güvenlik eklentisindeki bir güvenlik açığı üzerinden gerçekleştiği değerlendiriliyor. Analizlerde; TouchHub ve ClientHub isimli, daha önce kayıtlara geçmemiş iki yeni araç tespit edildi. Bu araçlar, siber casusluk faaliyetlerini sürdürmek, komut çalıştırmak ve ek zararlı yükler indirmek amacıyla kullanılıyor.

Grup, ele geçirdiği sistemlerde bilgi toplayan LPEClient aracının güncellenmiş bir sürümünü de operasyona dahil etti. Bu yeni sürüm, sistemin güvenlik korumalarını ve konfigürasyonlarını analiz ederek elde ettiği verileri şifreli olarak dışarı çıkarıyor.

Kuantum Sonrası Şifreleme Dönemi

Araştırmanın en dikkat çekici bulgularından biri, LPEClient’ın gelecekteki kuantum tehditlerine karşı koruma sağlayan ML-KEM-1024 adlı kuantum sonrası kriptografik mekanizmayı kullanması oldu. Saldırganların bu teknolojiyi en az Eylül 2024’ten beri, yani kamuoyuna duyurulmadan çok önce kullanmaya başladığı anlaşıldı.

Konuyla ilgili değerlendirmelerde bulunan Kaspersky GReAT Kıdemli Güvenlik Araştırmacısı Sojun Ryu, şunları kaydetti: “Lazarus, faaliyet alanını genişletmeye devam ediyor. Grup, yeni kampanyalar başlatırken ihtiyaçlarına göre yeni araçlar geliştiriyor ve mevcut araçlarını yeniden düzenliyor. Operation FlashHole analizimiz ve önceki araştırmalarımızdan elde ettiğimiz bulgular, grubun uzun süredir kullandığı saldırı yöntemlerine yapay zekâyı da dâhil etmeye başladığını gösteriyor. Lazarus’la bağlantılı diğer tehdit aktörlerinde de benzer bir değişim gözlemliyoruz.”

Kurumsal Korunma Stratejileri

Kaspersky, bu tür gelişmiş tehditlere karşı şu önlemlerin alınmasını öneriyor:
* Çalışanları oltalama girişimlerine karşı eğitin ve şüpheli bağlantıları doğrulayın.
* Yazılımları güncel tutun, kritik uygulamalardaki zafiyetleri düzenli tarayın.
* Kullanıcı yetkilerini sınırlandırın ve bulut hizmeti trafiğini izleyin.
* Kaspersky Next ürün ailesi ile gerçek zamanlı koruma ve EDR/XDR çözümlerinden yararlanın.
* Managed Detection and Response (MDR) ve Threat Intelligence gibi profesyonel hizmetlerle tehdit görünürlüğünü artırın.

Araştırmanın teknik detaylarının tamamına Securelist.com üzerinden ulaşılabiliyor.