El grupo Lazarus, vinculado a Corea del Norte, ha sido atribuido a una campaña de ciberespionaje bautizada como Operation FlashHole, que ha tenido como objetivo al menos a tres organizaciones de Corea del Sur pertenecientes a los sectores de la construcción, el software y la fabricación de equipos de comunicación por cable. Según la compañía rusa de ciberseguridad Kaspersky, la campaña está activa desde al menos julio de 2025 y se considera una continuación de Operation SyncHole.
Sojun Ryu, investigador sénior de seguridad de Kaspersky GReAT, explicó en un análisis exhaustivo que el grupo seleccionó a las víctimas con mayor cuidado y les envió correos de spear-phishing con enlaces a sitios fabricados pero verosímiles, como páginas de portafolios y currículos adaptadas a cada objetivo. Operation SyncHole fue documentada por primera vez por Kaspersky en abril de 2025 y detallaba el ataque del adversario patrocinado por el Estado contra las industrias de software, TI, finanzas, fabricación de semiconductores y telecomunicaciones de Corea del Sur desde noviembre de 2024, con el fin de distribuir malware como ThreatNeedle, AGAMEMNON, wAgent, SIGNBT y COPPERHEDGE.
Aquellos ataques se caracterizaron por la explotación de una vulnerabilidad en iniLINE Cross EX para distribuir el malware. Cross EX es un programa de seguridad financiera de instalación obligatoria que los usuarios de internet surcoreanos instalan en sus equipos para dar soporte a los sistemas de seguridad en distintos navegadores cuando acceden a la banca online y a los servicios públicos. El exploit estaba diseñado para lanzar el proceso legítimo SyncHost.exe e inyectar shellcode en él para cargar el backdoor ThreatNeedle. La cadena de ataque también incorporaba una vulnerabilidad de un día en la solución de transferencia de archivos Innorix Agent versión 9.2.18.496 para el movimiento lateral.
Operation FlashHole continúa la estela de la oleada anterior, que se centraba en software específico de Corea del Sur para comprometer a los objetivos. Mientras SyncHole explotaba Cross EX, FlashHole abusa de INISAFE CrossWeb EX, de Initech, otra solución de seguridad financiera obligatoria para acceder a la banca online y a los portales gubernamentales del país. Según el sitio web de iniLINE, la empresa firmó una alianza estratégica con Initech ya en 2010 para desarrollar CrossWeb, que actualmente comercializa Initech como solución de autenticación basada en certificados y firma electrónica.
El grupo Lazarus tiene un largo historial de abuso de este software para alcanzar sus objetivos. En el tercer trimestre de 2021 se utilizó para desplegar un descargador llamado Racket en relación con una campaña de larga duración denominada DeathNote. Entre 2022 y 2023, AhnLab también reveló ataques en los que el actor de amenazas explotó una vulnerabilidad del software para distribuir malware DLL (SCSKAppLink.dll) mediante ataques de watering hole, con la carga útil DLL obtenida de servidores web IIS comprometidos por el atacante.
El grupo primero hackea sitios web coreanos y modifica el contenido que ofrece el sitio. Cuando un sistema que utiliza una versión vulnerable de INISAFE CrossWeb EX V6 visita este sitio web a través de un navegador, el malware de Lazarus (SCSKAppLink.dll) se instala desde el sitio de distribución mediante la vulnerabilidad de INISAFECrossWebEXSvc.exe.
Estos hallazgos coinciden además con un aviso conjunto publicado en julio de 2026 por la Agencia de Internet y Seguridad de Corea (KISA) y proveedores nacionales de ciberseguridad, que destacaba la explotación por parte de Lazarus de vulnerabilidades en programas de seguridad financiera como AnySign4PC para distribuir backdoors como Struggle (también conocido como SIGNBT 3.0) y Brandoor (COPPERHEDGE), tras engañar a las víctimas para que visitaran URL maliciosas mediante técnicas de spear-phishing y watering hole.
AhnLab calificó esa campaña como Operation Double Barrel y señaló que los atacantes inducían a los objetivos a acceder a URL maliciosas mediante diversos métodos, incluidos ataques de watering hole y spear-phishing, y después explotaban las vulnerabilidades para instalar finalmente el malware de puerta trasera. El vector exacto de acceso inicial de FlashHole no está claro, pero los indicios apuntan a sitios web maliciosos alojados en páginas de GitHub, una de cuyas versiones albergaba el currículo de un desarrollador sénior de electrodomésticos de red junto con una foto de perfil probablemente generada con inteligencia artificial.
Se sospecha que a los objetivos se les envían correos de spear-phishing con enlaces al sitio malicioso, cuya visita desencadena una secuencia de infección que implica a CrossWeb EX para lanzar el binario legítimo de Windows fsquirt.exe, que a su vez se utiliza para ejecutar una DLL maliciosa llamada TechHub mediante DLL sideloading.
La cadena de infección es bastante compleja y revela las avanzadas técnicas operativas del grupo Lazarus en los hosts objetivo. Estas técnicas ocultan sus cargas útiles maliciosas, su intención y su sofisticado marco de distribución de malware. Cabe destacar que la cadena de ejecución descrita existe solo en memoria durante la infiltración inicial, lo que subraya el considerable esfuerzo de los atacantes por ocultar el compromiso inicial.
TechHub, por su parte, descarga desde GitHub un malware llamado TouchHub, que aprovecha una DLL intermedia para lanzar una carga útil DLL maliciosa denominada TOUCHSHIFT (mscoree.dll) y establecer persistencia mediante la ejecución en memoria de otra instancia de TechHub. Esa segunda instancia de TechHub obtiene otra familia de malware conocida como ClientHub para descargar y cargar LPEClient en memoria. LPEClient sirve de canal para Cubridge, el componente de orquestación del marco de malware diseñado para obtener diversos plugins, módulos y herramientas.
- TechHub: versión avanzada de los descargadores CLOUDBURST y NickelLoader que se comunica con GitHub para obtener cargas útiles adicionales como TouchHub y ClientHub, además de recopilar información sobre el dispositivo y sus procesos en ejecución.
- Cubridge: versión mejorada de SIDESHOW y LightlessCan capaz de comunicarse con un servidor de mando y control (C2) y descargar plugins reutilizables, utilidades DLL para tareas puntuales y módulos adicionales para ampliar su funcionalidad, lo que le permite recopilar información exhaustiva del sistema, ejecutar comandos y robar archivos y datos de navegadores web. También se considera una versión avanzada de CookiePlus.
- TouchHub: instalador principal de TouchShift.
- TouchShift: dropper de malware capaz de entregar keyloggers, utilidades de captura de pantalla y backdoors.
- ClientHub: backdoor no documentada hasta ahora que existe en dos versiones: una que se comunica con un servidor controlado por el atacante mediante HTTPS y otra que interactúa con la API de Dropbox. El objetivo final del malware es desplegar plugins y DLL adicionales. Los plugins permiten crear archivos ZIP, recopilar archivos que coincidan con un patrón de búsqueda, eliminar archivos concretos y monitorizar cambios en unidades locales y devolver la información de estado recopilada.
- LPEClient: herramienta de perfilado de víctimas y entrega de cargas útiles utilizada desde 2019.
En agosto de 2026, Check Point reveló que LPEClient se desplegó tras la explotación de un zero-day de CVE-2026-68820, una vulnerabilidad de escalada de privilegios que afecta al controlador auxiliar de funciones de Windows para WinSock, para desplegar el rootkit FudModule. Lo más destacado de la última versión del malware es que utiliza ML-KEM-1024, un algoritmo criptográfico postcuántico, para establecer una conexión cifrada con el servidor de los atacantes antes de descargar y ejecutar malware adicional directamente en memoria.
Kaspersky señaló que Operation FlashHole es la última oleada de la campaña más amplia Cascade Hole, que implica el uso de software surcoreano como posible punto de entrada para distribuir malware dirigido al país. La compañía indicó que la aparición de Operation FlashHole coincidió con una nueva oleada de ataques contra diversas organizaciones surcoreanas mediante el backdoor COPPERHEDGE. En al menos un caso, la infección del backdoor habría provocado la exfiltración de datos a un sitio de filtraciones de la dark web llamado ULOSE, de forma similar a los ataques de ransomware Gunra dirigidos contra entidades surcoreanas en esas mismas fechas.
Lazarus sigue ampliando sus operaciones, lanza nuevas campañas mientras introduce nuevas herramientas y reelabora las conocidas para adaptarlas a sus necesidades. Lo que merece una atención más cercana es la adopción por parte de Lazarus de criptografía diseñada para resistir futuras amenazas cuánticas. Nuestros hallazgos remontan su uso al menos a septiembre de 2024, lo que demuestra que estas capacidades ya protegían las comunicaciones del malware del grupo más de un año antes de esta revelación.
Acerca del autor
