Peneliti Kaspersky melaporkan gelombang serangan baru kelompok Lazarus yang berafiliasi dengan Korea Utara. Operasi bernama FlashHole itu menyasar sedikitnya tiga organisasi di Korea Selatan, dan malware terbarunya memakai algoritme enkripsi pasca-kuantum ML-KEM-1024 untuk menyembunyikan muatan tahap berikutnya dari alat keamanan.
Apa yang ditemukan Kaspersky
Menurut Kaspersky, FlashHole merupakan bagian dari kampanye lebih luas bernama Cascade Hole dan merupakan lanjutan Operation SyncHole, yang sudah aktif sejak November 2024. Aktivitas FlashHole sendiri tercatat sejak setidaknya Juli 2025. Korban yang teridentifikasi bergerak di bidang konstruksi, perangkat lunak, dan manufaktur peralatan komunikasi kabel. Kaspersky menduga jumlah korban sebenarnya lebih banyak, tetapi tidak menyebut nama organisasi mana pun.
Penyerang menyalahgunakan INISAFE CrossWeb EX buatan Initech, perangkat lunak keamanan keuangan yang di Korea Selatan wajib dipasang pada layanan tertentu. Alat itu dipakai dalam rantai eksekusi yang berjalan langsung di memori. Kaspersky juga mencatat pemakaian Innorix Agent versi 9.2.18.496 lewat celah lama untuk bergerak ke komputer lain dalam jaringan korban, serta celah zero-day Windows CVE-2026-68820 yang dilaporkan Check Point pada Agustus 2026.
Akses awal belum dipastikan. Dugaan Kaspersky mengarah ke phishing berupa tautan ke situs resume dan portofolio palsu, yang kemungkinan dihosting di GitHub Pages dan memuat JavaScript dari domain luar untuk memicu rantai serangan.
Peran enkripsi pasca-kuantum
Komponen LPEClient, alat pembuat profil korban yang sudah dipakai Lazarus sejak 2019, menerima empat blok data dari server penyerang. Tiap blok berisi kunci publik ML-KEM-1024, standar yang disetujui NIST. LPEClient membangun kunci bersama dari blok itu, lalu memakainya untuk mendekripsi muatan berikutnya. Kaspersky menilai langkah ini menunjukkan niat kelompok tersebut menyembunyikan muatan lanjutan, dan menelusuri penggunaan metode serupa hingga setidaknya September 2024.
Rangkaian malware yang disebut laporan mencakup TechHub sebagai pengunduh, ClientHub sebagai pemuat dengan versi yang berkomunikasi lewat Dropbox, dan Cubridge sebagai backdoor modular untuk menjalankan perintah, mengambil tangkapan layar, dan memuat muatan tambahan. Perangkat tambahan juga menyasar peramban berbasis Chromium untuk mengambil kredensial, cookie, dan riwayat penelusuran. Kaspersky mengaitkan satu kasus terkait operasi lain dengan kebocoran data di situs pemerasan, tetapi tidak merinci korbannya.
Langkah yang perlu diambil pembaca
Sumber yang dibaca tidak memuat tambalan atau mitigasi resmi untuk operasi ini, jadi tidak ada versi perbaikan yang bisa disebut selain yang tercantum di advisori vendor masing-masing. Organisasi yang memakai perangkat lunak keamanan Korea Selatan di komputer karyawan, termasuk perusahaan Indonesia yang bermitra dengan pihak di sana, sebaiknya memeriksa versi INISAFE dan Innorix Agent yang terpasang. Pastikan Windows sudah mendapat pembaruan terbaru, waspadai tawaran kerja atau portofolio dari pengirim tak dikenal, dan periksa log untuk koneksi tak lazim ke Dropbox atau repositori GitHub pribadi. Indikator serangan lengkap tersedia di laporan Kaspersky yang dirujuk kedua sumber.
Sumber: The Hacker News dan BleepingComputer. Gambar: BleepingComputer.