Лаборатория Касперского раскрыла операцию FlashHole, в которой злоумышленники превратили GitHub в канал управления заражёнными компьютерами. Атаки затронули как минимум три компании в Южной Корее из сфер разработки ПО, строительства и производства оборудования проводной связи. Исследователи с умеренно высокой уверенностью считают оператором кампании северокорейскую группировку Lazarus.
Жертву сначала подводили к заражению через целевой фишинг. Сотруднику отправляли ссылку на персонально подготовленную страницу GitHub Pages: в одном случае сайт изображал резюме опытного разработчика сетевого оборудования, в другом показывал портфолио дизайнера интерьеров. Следы FlashHole уходят как минимум в июль 2025 года.
Часть приманок, вероятно, помогал готовить ИИ. На странице с резюме исследователи нашли фотографию предполагаемого кандидата без метаданных и с признаками генерации, а портфолио наполнили странными деталями и случайными названиями компаний. После создания заготовки злоумышленники, по оценке Касперского, вручную переделывали страницу под конкретную цель.
Точный момент запуска вредоносного кода пока не установлен. Анализ указывает, что посещение подготовленной страницы могло запускать цепочку через INISAFE CrossWeb EX V3, защитную программу, которую в Южной Корее используют при работе с некоторыми банковскими и государственными сервисами. Касперский оценивает этот сценарий с умеренно высокой уверенностью.
После проникновения вредоносный код старался как можно меньше писать на диск и запускал основные компоненты прямо в памяти Windows. Для закрепления атакующие применяли подмену при загрузке DLL, а затем поэтапно запускали TechHub, TouchHub, TouchShift, ClientHub, LPEClient и Cubridge. Последний компонент мог загружать дополнительные инструменты, работать с файлами и процессами и выполнять код на заражённом компьютере.
Самая необычная часть FlashHole начинается после запуска TechHub. Вместо отдельного управляющего сервера программа подключалась к закрытому репозиторию через API GitHub. Каждый заражённый компьютер получал собственный идентификатор, после чего вредонос создавал задачу в репозитории, обменивался ключами, отправлял сведения о системе и ждал команд. GitHub фактически работал как командный пункт, поэтому вредоносный обмен маскировался среди обычного трафика популярного сервиса.
Касперский обнаружила не меньше трёх основных репозиториев для управления TechHub и ещё один резервный. Исследователи считают, что Lazarus использовала GitHub для этих задач как минимум с июля 2025 года. Репозитории старались сделать похожими на нормальные проекты, а учётные записи, предположительно, регистрировали через захваченные почтовые ящики.
На GitHub инфраструктура не заканчивалась. Одна из версий ClientHub могла получать команды через Dropbox, а другие компоненты обращались к взломанным легитимным сайтам. Такая схема давала операторам несколько путей к заражённой машине и усложняла блокировку всей инфраструктуры одним действием.
LPEClient добавил в цепочку ещё одну редкую для вредоносного ПО деталь. Для обмена ключами разработчики внедрили ML-KEM-1024, стандартизированный NIST механизм из области постквантовой криптографии. Алгоритм помогает защищать обмен ключами даже от будущих квантовых атак. В FlashHole его использовали перед получением следующих вредоносных модулей.
Лаборатория отнесла FlashHole к Lazarus по совокупности признаков: набору инструментов, многоступенчатой схеме заражения, выбору целей и использованию LPEClient, который уже появлялся в предыдущих кампаниях группировки. Исследователи считают основной целью FlashHole шпионаж и допускают, что реальное число пострадавших организаций заметно превышает три подтверждённых случая.