Kampanye APT Lazarus Baru Gunakan AI dan Enkripsi Pasca-Kuantum

Teknogav.com – Kaspersky Global Research and Analysus Team (GReAT) memaparkan temuan mengenai Operation FlashHole pada Security Analyst Summit di Bali, Indonesia. Ini adalah kampanye spionasi siber yang dikaitkan dengan kelompok APT Lazarus dan telah aktif setidaknya sejak Juli 2025. Tiga organisasi di Korea Selatan yang bergerak di sektor konstruksi, perangkat lunak dan manufaktur peralatan komunikasi kabel telah merasakan dampaknya.

Para pelaku menggunakan metode spear-phishing, menyalahgunakan perangkat lunak sah CrossWeb EX, dan menyebarkan malware versi terbaru. Serangan juga menggunakan alat yang tak terdokumentasi sebelumnya. Kaspersky GReAT telah mengungkap gelombang serangan baru yang terkait Operation SyncHole dari kelompok Lazarus, yang pertama kali ditemukan tahun lalu. Sejak saat itu, para penyerang telah mengembangkan perangkat dan teknik mereka, sehingga kampanye ini menjadi lebih persisten dan canggih.

Situs GitHUB Pages yang terhubung ke suatu akun GitHub digunakan sebagai saluran command-and-control (C2) menjadi bagian dari kampanye tersebut. Akun yang dibuat pada September 2026 tersebut awalnya menampung website yang menampilkan CV seseorang yang mengaku pengembang senior perangkat jaringan. Pemikat ini konsisten dengan Operation DreamJob, kampanye bertema pekerjaan khas Lazarus.

Halaman tersebut memuat foto yang dihasilkan Akal Imitasi (AI) berupa sosok yang seolah-olah merupakan pencari kerja. Peneliti Kaspersky meyakini bahwa para penyerang juga menggunakan AI untuk menyesuaikan situs web palsu tersebut dengan sasaran mereka. Kampanye ini dimulai dengan email spear-phishing yang berisi tautan ke situs berisi CV dan portofolio palsu yang disesuaikan untuk masing-masing target.

Hasil penelitian menunjukkan kemungkinan bahwa kunjungan ke situs berbahaya tersebut memicu proses infeksi yang melibatkan perangkat lunak CrossWeb EX. Ini adalah plugin keamanan dan perangkat lunak autentikasi web yang banyak digunakan di Korea Selatan. Kegiatan berbahaya ini bisa dimungkinkan oleh kerentanan dalam perangkat lunak CrossWeb EX yang kemungkinkan membuka celah masuk bagi penyerang. Sebelumnya juga sudah ada imbauan yang mengonfirmasi adanya keberadaan kerentanan dalam perangkat lunak keamanan finansial tersebut.

Para peneliti mengidentifikasi berbagai muatan berbahaya dan merekonstruksi rantai infeksi melalui analisis mendalam. Hasilnya mengungkap kerangka kerja penyebaran malware canggih dan teknik-teknik tingkat lanjut untuk menyembunyikan kegiatan berbahaya pada sistem yang menjadi sasaran.

Penyerang menggabungkan versi terbaru malware yang sudah mereka miliki dengan dua alat yang tak terdokumentasi sebelumnya, yaitu TouchHub dan ClientHub. Komponen-komponen tersebut memasang malware tambahan, mengeksekusi perintah pada komputer yang terinfeksi dan berkomunikasi dengan para penyerang. Tujuan akhir upaya ini adalah spionase siber. Salah satu alat terbaru memiliki varian yang menggunakan Dropbox untuk berkomunikasi dengan operatornya.

Sojun Ryu, peneliti keamanan senior di Kaspersky GReAT

Kampanye juga menggunakan versi terbaru LPEClient, alat yang sudah lama digunakan Lazarus untuk mengumpulkan informasi mengenai komputer yang terinfeksi dan mengirimkan malware tambahan. Versi terbaru ini mengumpulkan detail mengenai perangkat lunak keamanan yang dipasang, perlindungan keamanan Windows dan karakteristik-karakteristik sistem lain. Informasi tersebut kemudian dikompres dan dienkripsi sebelum dikirim ke pihak penyerang.

Sojun Ryu, peneliti keamanan senior di Kaspersky GReAT

LPEClient versi terbaru juga menggunakan ML-KEM-1024, mekanisme kriptografi pasca-kuantum yang dirancang untuk melindungi komunikasi terhadap serangan potensial oleh komputer kuantum masa depan. Mekanisme ini menggelar koneksi terenkripsi dengan server para penyerang sebelum mengunduh dan menjalankan malware tambahan langsung di memori. Demi menghindari deteksi, perangkat ini juga berusaha memintas pemantauan keamanan dengan mengubah perlindungan memori dan menonaktifkan hook pemantauan yang digunakan perangkat keamanan pendeteksi kegiatan sistem yang mencurigakan.

Sojun Ryu, peneliti keamanan senior di Kaspersky GReAT

“Lazarus terus memperluas operasinya, meluncurkan kampanye-kampanye baru sambil memperkenalkan alat-alat baru dan memodifikasi yang sudah ada untuk memenuhi keinginannya. Analisis kami terhadap Operation FlashHole, ditambah dengan bukti dari investigasi sebelumnya, menunjukkan bahwa kelompok ini juga mulai mengintegrasikan AI ke dalam strategi operasional mereka yang telah lama digunakan, suatu pergeseran yang juga kami amati pada pelaku ancaman lain yang berafiliasi dengan Lazarus. Hal yang patut mendapat perhatian lebih adalah penerapan kriptografi oleh Lazarus yang dirancang untuk menghadapi ancaman kuantum di masa depan. Temuan kami melacak penggunaan ini setidaknya sejak September 2024, yang menunjukkan bahwa kemampuan tersebut telah melindungi komunikasi malware milik kelompok ini lebih dari setahun sebelum pengungkapan ini,” ucap Sojun Ryu, peneliti keamanan senior di Kaspersky GReAT.

Tips Aman dari Serangan Lazarus

Kaspersky menyarankan untuk mengikuti praktik-praktik terbaik berikut ini agar tetap terlindungi dari serangan Lazarus dan kampanye seperti Operation FlashHole:

Latih karyawan untuk mengenali upaya phishing yang ditargetkan. Verifikasi email dan tautan yang tidak diharapkan, bahkan jika mengarahkan ke situs profesional yang meyakinkan. Laporkan pesan yang mencurigakan ke tim keamanan
Pastikan perangkat lunak tetap diperbarui dan terapkan patch keamanan segera. Periksa kerentanan di aplikasi-aplikasi yang krusial bagi bisnis. Nonaktifkan komponen-komponen yang tidak dibutuhkan untuk mengurangi risiko eksploitasi
Batasi hak akses pengguna dan pantau koneksi ke layanan cloud yang dapat disalahgunakan untuk tujuan menjalankan perintah dan kendali (
Gunakan solusi untuk melindungi perusahaan terhadap serangkaian luas ancaman, termasuk alat yang digunakan pada Operation FlashHole. Lini produk Kaspersky Next yang menyediakan perlindungan real-time, visibilitas ancaman, investigasi dan kemampuan merespon dari EDR dan XDR untuk organisasi berbagai ukuran dan industri bisa menjadi solusi. Pilih produk kyang paling releen sesuai kebutuhan saat ini dan sumber-sumber yang tersedia. Solusi ini juga dapat disesuaikan jika kebutuhan keamanan siber berubah
Gunakan layanan keamanan terkelola seperti Compromise Assesment, MDR dan/atau Incident Response dari Kaspersky. Layanan tersebut melindungi seluruh siklus pengelolaan insiden, mulai dari identifikasi ancaman sampai proteksi berkelanjutan dan pemulihan. Solusi-solusi tersebut membantu melindungi terhadap serangan siber yang sulit dideteksi, menginvestigasi insiden dan menyediakan keahlian tambahan, bahkan jika perusahaan kekurangan para pekerja keamanan siber
Berikan visibilitas mendalam kepada para profesional InfoSec mengenai ancaman siber yang menargetkan organisasi. Kaspersky Threat Intelligence menyediakan konteks yang kaya dan berarti di seluruh siklus pengelolaan insiden dan membantu mengidentifikasi risiko-risiko siber secara tepat waktu

Demikianlah beberapa praktik-praktik terbaik yang dapat diterapkan demi tetap terlindungi dari serangan siber dan kampanye berbahaya.