用后量子加密藏恶意软件，Lazarus盯上韩国金融安全软件

韩国网民电脑上那套"必须装"的金融安全软件，又成了朝鲜相关组织的入口。卡巴斯基把最新一轮攻击命名为"FlashHole行动"，至少三家韩国机构被卷入，横跨建筑、软件和有线通信设备制造三个行业。

这轮攻击至少从2025年7月起就处于活跃状态。卡巴斯基GReAT高级安全研究员Sojun Ryu在分析中给出的判断是：它接的是"SyncHole行动"的班。相比上一轮，这次的目标筛选更挑剔——钓鱼邮件里挂的链接指向伪造但"对得上人"的页面，比如为每个目标量身定做的作品集和简历页。

SyncHole行动在2025年4月由卡巴斯基首次记录，指向的是2024年11月以来针对韩国软件、IT、金融、半导体制造和电信行业的攻击，投递的恶意软件包括ThreatNeedle、AGAMEMNON、wAgent、SIGNBT和COPPERHEDGE。那一轮的手法，是拿iniLINE Cross EX的漏洞做投递入口。

Cross EX是什么定位？韩国互联网用户访问网银和政府服务时，为了跨浏览器环境支撑各类安全软件，被要求装在电脑上的强制性金融安全程序。攻击者利用漏洞拉起合法的"SyncHost.exe"进程，把shellcode注入进去，加载ThreatNeedle后门。攻击链里还搭了Innorix Agent文件传输方案9.2.18.496版本的一个one-day漏洞做横向移动。

FlashHole延续了"拿韩国本土软件当突破口"的思路，只是换了个壳：这次被滥用的是Initech的INISAFE CrossWeb EX，同样是访问网银和政府门户所必需的强制性金融安全方案。据iniLINE官网信息，该公司早在2010年就与Initech结成战略联盟共同开发CrossWeb，目前由Initech以基于证书的认证与电子签名方案对外销售。

这套软件被Lazarus盯上不是一天两天。2021年第三季度，它就被用来投递一个名为Racket的下载器，关联到长期运行的DeathNote行动。2022年至2023年间，安博士披露的攻击中，威胁行为者利用该软件漏洞，通过水坑攻击分发DLL恶意软件"SCSKAppLink.dll"，载荷从被攻陷的IIS Web服务器上取回。

安博士在2023年7月的报告里写得很直白：该组织先黑掉韩国网站、篡改站点提供的内容；当使用存在漏洞版本的INISAFE CrossWeb EX V6的系统通过浏览器访问该网站时，Lazarus的恶意软件就经由INISAFECrossWebEXSvc.exe的漏洞从分发站点装进机器。

背景里还有一份联合预警。韩国互联网振兴院（KISA）与韩国安全厂商在2026年7月发布联合公告，点名Lazarus利用AnySign4PC这类金融安全程序的漏洞，在通过钓鱼和水坑手法诱骗受害者访问恶意URL后，投放Struggle（又称SIGNBT 3.0）和Brandoor（又称COPPERHEDGE）等后门。安博士把这轮行动称为"Double Barrel行动"。

FlashHole的初始入口目前并不明确，但线索指向托管在GitHub Pages上的恶意站点。其中一个版本挂着一位资深网络设备开发者的简历，配的照片很可能是AI生成的。推测的路径是：目标收到含恶意站点链接的钓鱼邮件，访问后触发感染序列，借CrossWeb EX拉起合法的Windows二进制文件"fsquirt.exe"，再通过DLL侧加载启动名为TechHub的恶意DLL。

卡巴斯基对这条链的评价是"相当复杂"，反映出Lazarus在目标主机上的高级操作手法——藏载荷、藏意图、藏整套投递框架。更关键的一点：初次渗透时下面那条执行链只存在于内存中，说明攻击者为隐藏初始失陷痕迹下了不少功夫。

TechHub会从GitHub下载名为TouchHub的恶意软件，后者再通过DLL侧加载拉起一个名为TOUCHSHIFT（"mscoree.dll"）的恶意DLL载荷，靠启动另一个TechHub实例的内存执行来建立持久化。第二个TechHub实例取回另一个恶意软件家族ClientHub，把LPEClient下载并加载进内存。LPEClient则是Cubridge的通道，而Cubridge是整个恶意框架的编排组件，负责拉取各类插件、模块和工具。

• TechHub：CLOUDYBURST和NickelLoader下载器的进阶版，与GitHub通信取回TouchHub、ClientHub等载荷，同时收集设备及其运行进程的信息。
• Cubridge：SIDESHOW和LightlessCan的改进版，能与C2服务器通信，下载可复用插件、一次性任务的DLL工具和扩展功能的模块，进而收集完整系统信息、执行命令、窃取文件和浏览器数据；也被评估为CookiePlus的高级版本。
• TouchHub：TouchShift的父安装器。
• TouchShift：能投递键盘记录器、截屏工具和后门的恶意投放器。
• ClientHub：此前未被记录的后门，有两个版本，一个用HTTPS与攻击者控制的服务器通信，另一个对接Dropbox API；最终目的是部署额外插件和DLL，插件可创建ZIP归档、按搜索模式收集文件、删除指定文件、监控本地驱动器变化并回传状态信息。
• LPEClient：自2019年起就在用的受害者画像与载荷投递工具。

2026年8月，Check Point披露LPEClient是在CVE-2026-68820零日被利用后部署的。该漏洞是Windows Ancillary Function Driver for WinSock的提权缺陷，被用来投放FudModule rootkit。

最新版本里最值得盯的一点：它用ML-KEM-1024这种后量子密码算法，先与攻击者服务器建立加密连接，再把后续恶意软件直接在内存中下载运行。Ryu的说法是，Lazarus采用抗未来量子威胁的密码设计这件事更该被关注，相关能力至少可追溯到2024年9月——也就是说，在这份披露的一年多以前，这套能力已经在保护该组织的恶意软件通信。

卡巴斯基把FlashHole归入更大的"Cascade Hole"行动序列，核心逻辑是把韩国本土软件当作潜在入口，投递针对该国的恶意软件。该公司还提到，FlashHole出现的同时，另一波用COPPERHEDGE后门攻击韩国各类机构的行动也在进行；至少有一例中，后门感染导致数据被外泄到一个名为ULOSE的暗网泄露站点，手法与同期针对韩国实体的Gunra勒索软件攻击相似。

Ryu在给The Hacker News的声明中表示，Lazarus持续扩张行动、不断发起新战役，同时引入新工具、改造熟悉的旧工具来满足自身需求。