Un curriculum senza metadati EXIF, una foto dai tratti leggermente innaturali, un portfolio di design d’interni costruito ad arte per sembrare credibile: dietro l’ennesima esca da colloquio di lavoro firmata Lazarus si nasconde questa volta qualcosa che va oltre il solito social engineering. Kaspersky ha battezzato Operation FlashHole una campagna attiva almeno dal luglio 2025 contro tre aziende sudcoreane dei settori software, edilizia e telecomunicazioni via cavo, e il dettaglio che fa drizzare le antenne ai threat hunter è nel payload finale: la versione aggiornata del loader LPEClient usa ML-KEM-1024, l’algoritmo di key encapsulation post-quantum standardizzato dal NIST, per cifrare le comunicazioni con il server di comando. Le prime evidenze di questa scelta risalgono a settembre 2024, un anno prima della divulgazione pubblica.

Lo stesso bersaglio, due volte

FlashHole non nasce dal nulla. Kaspersky la lega con confidenza medio-alta a Operation SyncHole, la campagna che il gruppo GReAT aveva già documentato a gennaio 2026 e che per almeno quattro mesi aveva colpito organizzazioni sudcoreane negli stessi settori. Il filo che unisce le due ondate è il vettore d’accesso: entrambe sfruttano siti civetta ospitati su GitHub Pages, che imitano curriculum o portfolio professionali e che, una volta visitati, innescano il download di uno script esterno malevolo mascherato da libreria jQuery legittima. Il riuso di toolchain non si ferma qui: TechHub, Cubridge e TouchShift, tre componenti chiave della catena, erano già stati osservati nella storica campagna Dream Job tra il 2022 e il 2023, segno che Lazarus continua a investire sugli stessi strumenti piuttosto che reinventarli da zero, limitandosi ad aggiornarne la crittografia e l’offuscamento.

Il software di sicurezza finanziaria come trampolino

Il dettaglio più delicato della catena d’infezione riguarda INISAFE CrossWeb EX, un software di sicurezza e autenticazione web obbligatorio in Corea del Sud per l’accesso a servizi bancari e governativi online. Kaspersky osserva che il processo INISAFECrossWebEXSvc.exe risulta coinvolto nella fase iniziale dell’infezione, e cita un advisory pubblicato a luglio 2026 da AhnLab e dal governo sudcoreano su tecniche Lazarus che includono proprio lo sfruttamento di software di sicurezza finanziaria diffuso nel paese. Il meccanismo esatto della falla non è ancora stato chiarito pubblicamente, ma il risultato è noto: il binario legittimo fsquirt.exe viene iniettato con uno shellcode che carica in memoria il primo stadio della catena, senza mai toccare il disco in questa fase. È un pattern che dovrebbe preoccupare chiunque gestisca endpoint sudcoreani vincolati per legge a installare questa categoria di software: un requisito normativo di sicurezza si trasforma in superficie d’attacco.

TouchHub, ClientHub e il salto crittografico

Dal punto d’ingresso parte una catena multi-stadio piuttosto elaborata. TechHub, il downloader iniziale, comunica con un repository GitHub privato tramite personal access token, usando le issue del repository come canale e cifrando il traffico in AES: un modo efficace per nascondersi nel rumore di fondo di una piattaforma di sviluppo legittima. TouchHub installa poi un servizio mascherato dentro il gruppo netsvcs di Windows e altera i timestamp MAC del driver monitor.sys per complicare la successiva analisi forense. Cubridge, l’orchestratore centrale, genera gli indirizzi di comando dinamicamente con una wordlist e stabilisce l’handshake con RSA e RC6, mentre il nuovo componente ClientHub introduce SNOW 1.0, un cifrario a flusso mai osservato prima in un impianto Lazarus, in due varianti: una su HTTP(S) e una che usa direttamente le API ufficiali di Dropbox, credenziali incluse, come canale di comando e controllo.

Ma è LPEClient, il modulo di raccolta informazioni aggiornato, il vero salto di qualità. Oltre a profilare patch level, stato delle mitigazioni di sicurezza (Kernel VA Shadow, CET) e antivirus installati leggendo direttamente il repository WMI, cifra i dati raccolti con l’algoritmo russo GOST (Magma) e stabilisce lo scambio di chiavi con ML-KEM-1024, decifrando infine con Threefish. L’adozione di crittografia post-quantum in un malware operativo, documentata già a partire da campioni di un anno prima, indica che almeno alcuni cluster legati a Lazarus stanno sperimentando in anticipo tecniche pensate per restare sicure anche contro un futuro computer quantistico capace di rompere RSA ed ECC. Per i defender è un segnale da non ignorare: l’hype sul “quantum-safe” non riguarda più solo i vendor di sicurezza, ma comincia a comparire anche dal lato offensivo.

L’intelligenza artificiale come acceleratore del social engineering

Kaspersky valuta con confidenza media che gli operatori abbiano usato l’AI generativa per costruire le identità fittizie delle esche. La foto del falso candidato non presenta metadati EXIF e mostra texture di pelle e sfondo innaturali, tipiche di un’immagine sintetica; il nome scelto ricorda l’equivalente coreano di “John Doe” e i dettagli del portfolio — aziende generiche, esperienze casuali — sembrano generati automaticamente e poi rifiniti a mano per calzare su ogni singolo bersaglio. Non è una novità assoluta per gli attori legati a Lazarus, ma confirma una tendenza: l’AI non sostituisce ancora l’operatore umano, lo libera dal lavoro di dettaglio nella fase di adescamento, lasciandogli più tempo per la personalizzazione fine che fa la differenza tra un’esca riconoscibile e una che supera il controllo di un responsabile HR o di un tecnico IT.

Cosa fare

• Verificare la presenza di processi figli anomali generati da INISAFECrossWebEXSvc.exe e da altri software di sicurezza finanziaria obbligatori, specialmente in ambienti sudcoreani o con controparti sudcoreane.
• Monitorare connessioni in uscita verso l’API di GitHub e di Dropbox da processi che normalmente non dovrebbero generarle, oltre a traffico verso domini di recente registrazione che imitano portali curriculum o portfolio.
• Cercare servizi Windows con nomi mimetizzati nel gruppo netsvcs e DLL side-loading tramite mscoree.dll in percorsi non standard.
• Trattare con sospetto qualunque candidatura o collaborazione esterna che rimandi a siti di portfolio ospitati su GitHub Pages collegati ad account creati di recente.

Il report completo di Kaspersky, pubblicato su Securelist, include un set più ampio di indicatori; di seguito una selezione degli hash e dei domini più rilevanti.

Domini C2 (defanged):
javadevhouse.co[.]kr
pythonapischool[.]com
cubedesign.co[.]kr
fp-news.co[.]kr
k-wbc.co[.]kr
rcsh.co[.]kr
ksog.org

Hash MD5 - TouchShift (mscoree.dll):
ec84d6cb2ae7974767aedac246b50a3e
a28cba214058fcae2883d8cffc883abd
c105d6b16f544582772de0159f24c00a
2f8475a90a25624ed02f1d18d4e6d65d
676fabe30a28b53925fba98e34b35986
b4a7eff35f048f06fb0a2d7631f23a7d

Hash MD5 - ClientHub Loader (liblzma.dll):
ff07641dc56914dd90ee0bd7404d7ad7

Percorsi file osservati:
C:\Windows\System32\RasConv\mscoree.dll
C:\Windows\System32\DrvConh\mscoree.dll
C:\ProgramData\Package.txt
C:\ProgramData\desktops.ini
C:\Program Files\Common Files\System\msadc\msadc.inc