在印度尼西亚巴厘岛举办的安全分析师峰会上，卡巴斯基全球研究与分析团队（GReAT）披露了针对 “闪洞行动”（Operation FlashHole）的研究成果。这是一场由Lazarus高级持续性威胁（APT）组织发起的网络间谍活动。该活动至少从 2025 年 7 月起持续活跃，现已波及韩国至少三家机构，覆盖建筑、软件以及有线通信设备制造行业。攻击者采用鱼叉式钓鱼攻击，滥用合法软件 CrossWeb EX，并投放经过更新的恶意程序，其中包含多款此前从未公开的工具。

卡巴斯基 GReAT 团队还发现了新一轮与Lazarus组织 “同步洞行动”（Operation SyncHole）相关的攻击活动。“同步洞行动” 最早于去年被发现，此后攻击者持续迭代工具与攻击手法，使得该攻击活动的驻留能力更强、技术复杂度更高。

研究人员在本次攻击活动中发现了一个关联 GitHub 账号的 GitHub Pages 网站，被用作命令与控制（C2）通道。该账号创建于 2025 年 9 月，最初搭建的网页展示了一份据称是资深网络设备开发人员的简历 —— 这种诱饵方式和Lazarus标志性求职主题攻击行动 “求职梦行动”（Operation DreamJob）一脉相承。网页上配有一张 AI 生成的求职者照片。卡巴斯基研究人员认为，攻击者同样借助人工智能，针对目标定制虚假网站。整个攻击流程始于鱼叉式钓鱼邮件，邮件内附带链接，指向为不同目标量身伪造的作品集与简历网站。

研究结果显示，访问该恶意网站极有可能触发感染流程，流程会利用 CrossWeb EX 软件。这款软件是在韩国广泛使用的安全插件与网页身份验证程序。恶意行为的实施，可能依托 CrossWeb EX 软件中一处潜在漏洞，该漏洞成为攻击者的初始入侵入口。值得注意的是，安芯网盾（AhnLab）此前已发布安全公告：确认披露这款金融安全软件存在漏洞。经过深度分析，研究人员识别出多个恶意载荷，还原完整攻击链，揭露了一套精密的恶意程序投放框架，以及用于在目标主机上隐藏恶意行为的高级技术。

攻击者将现有恶意程序的更新版本，搭配两款全新未公开工具 ——TouchHub 与 ClientHub 一同使用。这些组件负责部署更多恶意软件、在受感染主机上执行指令，并和攻击者建立通信，最终实现网络间谍目的。其中一款新工具的变体，能够借助 Dropbox 与操控者通信。

本次攻击还使用了新版 LPEClient。LPEClient 是Lazarus长期使用的工具，用于采集受感染主机信息并下发更多恶意程序。新版本会收集主机已安装安全软件、Windows 安全防护机制以及其他系统特征信息，对数据压缩加密后回传给攻击者。

新版 LPEClient 还采用 ML-KEM-1024 后量子加密算法。该加密机制旨在保障通信安全，抵御未来量子计算机可能发起的破解攻击。它会先通过这套算法和攻击者服务器建立加密连接，再直接在内存中下载并运行后续恶意程序。为规避查杀，该程序还会修改内存保护属性、禁用安全工具用于监测异常系统行为的钩子，尝试绕过安全监控。

卡巴斯基 GReAT 高级安全研究员Sojun Ryu表示： “Lazarus组织持续扩大行动范围，不断发起新攻击，同时推出全新工具、改造已有工具来满足自身需求。我们针对闪洞行动的分析，结合过往调查证据可以看出，该组织已经把 AI 纳入成熟的攻击套路，我们在其他和拉撒路有关联的威胁团伙身上，也观察到了这一变化。更值得警惕的是，拉撒路开始采用能够抵御未来量子威胁的加密方案。我们的溯源发现，该组织至少从 2024 年 9 月就已经启用这类加密能力，也就是说，早在本次披露的一年多之前，这类技术就已经用于保护其恶意程序通信。”

为防范Lazarus组织发起的攻击以及 “闪洞行动” 这类攻击活动，建议各机构遵循以下安全最佳实践：

• 开展员工培训，使其能够识别定向钓鱼攻击。对于来路不明的邮件与链接务必核验，即便链接跳转至看起来十分真实的专业网站也不可放松警惕，发现可疑消息要上报安全团队。
• 保持软件版本为最新状态，及时安装安全补丁。定期评估业务关键应用存在的漏洞，关闭非必要组件，降低被漏洞利用的风险。
• 限制用户权限，监控可被滥用作命令与控制通道的云服务连接行为。
• 为抵御包括 “闪洞行动” 所使用工具在内的各类威胁，可选用卡巴斯基 Next 产品线解决方案。该产品线可为任意规模、任意行业的企业提供实时防护、威胁可视能力，以及 EDR、XDR 的事件调查与响应能力。企业可结合自身当下需求与可用资源，选择适配的产品版本；当网络安全需求发生变化时，也可平滑切换至其他版本。
• 采用卡巴斯基托管安全服务，包括入侵评估、托管检测与响应（MDR）以及事件响应服务。该类服务覆盖完整事件处置全流程，从威胁识别，到持续防护再到威胁清除。即便企业自身网络安全人员不足，也可借助这些服务抵御规避检测的网络攻击、开展事件调查，并获取专业技术支持。
• 让企业信息安全人员充分掌握针对本机构的网络威胁态势。卡巴斯基威胁情报服务能够在事件处置全周期提供丰富有效的威胁背景信息，助力企业及时识别网络风险。