(TAP) - Hãng bảo mật Kaspersky đã phát hiện chiến dịch gián điệp mạng “Operation FlashHole” của nhóm tin tặc Lazarus, nhắm trực tiếp vào các mục tiêu tại Hàn Quốc. Trong đó, tin tặc sử dụng trí tuệ nhân tạo (AI) để giả danh tuyển dụng và mật mã hậu lượng tử nhằm qua mặt hệ thống giám sát.
Thông tin đăng tải ngày 3/11 trên trang Facebook Cục An ninh mạng Việt Nam cho biết, tại Hội nghị Thượng đỉnh Phân tích Bảo mật (Security Analyst Summit - SAS) ngày 21/10 ở Bali (Indonesia), Đội Nghiên cứu và Phân tích Toàn cầu (GReAT) thuộc công ty chuyên về an ninh mạng Kaspersky đã công bố kết quả điều tra chiến dịch “Operation FlashHole”. Đây là chiến dịch gián điệp mạng do nhóm tin tặc Lazarus khét tiếng thực hiện. Hoạt động tấn công mạng được ghi nhận ít nhất từ tháng 7/2025, gây ảnh hưởng trực tiếp đến 3 tổ chức về lĩnh vực xây dựng, phần mềm, sản xuất thiết bị viễn thông tại Hàn Quốc.
Chiến dịch gián điệp mạng Lazarus sử dụng AI và mật mã hậu lượng tử. Nguồn: Facebook Cục An ninh mạng
Theo Kaspersky, FlashHole có liên quan tới chiến dịch “Operation SyncHole” của nhóm tin tặc Lazarus. Kể từ lần đầu bị phát hiện hồi năm ngoái, các tin tặc đã cải tiến công cụ cũ, đồng thời bổ sung hàng loạt mã độc mới nhằm duy trì khả năng xâm nhập. Trong quá trình điều tra, GReAT phát hiện Lazarus sử dụng thủ đoạn “DreamJob”, giả mạo cơ hội việc làm hấp dẫn để tiếp cận mục tiêu. Nhóm tin tặc tạo những hồ sơ kỹ sư mạng cấp cao trên nền tảng GitHub Pages, dùng ảnh đại diện do AI tạo ra, thiết kế trang tuyển dụng tinh vi nhắm riêng từng mục tiêu. Tài khoản GitHub này thiết lập vào tháng 9/2025, sau đó trở thành một phần thuộc hạ tầng điều khiển và kiểm soát (C2). Cuộc tấn công khởi đầu bằng một số email lừa đảo được thiết kế riêng, dẫn dụ người nhận truy cập trang hồ sơ giả mạo.
Luồng tấn công Operation FlashHole trong giai đoạn xâm nhập ban đầu. Nguồn: Chicho Pipi (Pinterest)
Kaspersky nhận định, quá trình xâm nhập bắt nguồn từ việc khai thác lỗ hổng trên CrossWeb EX - một tiện ích bảo mật, xác thực web phổ biến tại Hàn Quốc. Sau khi xâm nhập thành công, Lazarus lập tức triển khai 2 công cụ mã độc mới là TouchHub và ClientHub. Đáng chú ý, một biến thể của ClientHub lợi dụng Dropbox làm kênh trung gian trao đổi dữ liệu nhằm qua mặt các hệ thống giám sát.
Chiến dịch còn dùng LPEClient để thu thập thông tin hệ thống Windows, phần mềm bảo mật, cơ chế bảo vệ đang hoạt động; đồng thời vô hiệu hoá hook giám sát phần mềm an ninh và nén dữ liệu gửi về máy chủ. Đáng chú ý, LPEClient đã ứng dụng ML-KEM-1024 - cơ chế đóng gói khóa hậu lượng tử, nhằm thiết lập kết nối mã hóa tới máy chủ điều khiển trước khi tải mã độc bổ sung vào bộ nhớ. Nhà nghiên cứu Sojun Ryu thuộc GReAT cho biết, dấu vết Lazarus sử dụng mật mã hậu lượng tử xuất hiện ít nhất từ tháng 9/2024.
Việc kết hợp hồ sơ tuyển dụng giả, mã độc có khả năng né tránh giám sát và kênh liên lạc hậu lượng tử khiến nguy cơ bị phát hiện chậm đi đáng kể. Kaspersky khuyến nghị các tổ chức cần đào tạo nhân viên nhận diện email lừa đảo, xác minh đường dẫn tuyển dụng, cập nhật phần mềm, áp dụng bản vá bảo mật. Người dùng phải thận trọng trước email, website tuyển dụng không rõ nguồn gốc, kể cả những trang với giao diện chuyên nghiệp.
Thuy An
