Il gruppo di minaccia Lazarus, collegato alla Corea del Nord, è stato attribuito a una nuova campagna denominata Operation FlashHole. La tecnica impiegata ha un elemento di particolare originalità: sfrutta un software di sicurezza sudcoreano come vettore per distribuire malware, e fa ricorso a una crittografia post-quantum per proteggere le comunicazioni con i sistemi compromessi.
La scelta di usare uno strumento di sicurezza legittimo come canale di infezione complica la rilevazione, perché il traffico proviene da un componente che le difese aziendali tendono per definizione a considerare affidabile.
Un vettore inatteso
Secondo le ricostruzioni, gli attaccanti avrebbero abusato di funzionalità presenti in un software di sicurezza diffuso in Corea del Sud per consegnare il payload malevolo ai bersagli. Questo approccio, noto come supply-chain o abuso di software fidato, permette di aggirare una parte dei controlli perimetrali e di raggiungere ambienti altrimenti protetti.
L’uso di un vettore di questo tipo segnala una preparazione accurata e una conoscenza specifica degli ambienti presi di mira, elementi che contraddistinguono le campagne condotte da gruppi APT con risorse e obiettivi di lungo periodo.
La crittografia post-quantum come scudo
La seconda particolarità è l’impiego di algoritmi di crittografia post-quantum per cifrare le comunicazioni verso il centro di comando. Si tratta di algoritmi progettati per resistere anche a un futuro attacco basato su computer quantistici, ma che già oggi risultano più difficili da intercettare e analizzare con gli strumenti tradizionali.
Per i difensori questo rappresenta una complicazione aggiuntiva: la cifratura moderna adottata dal gruppo rende meno immediata l’analisi del traffico e impone l’uso di tecniche di rilevazione basate sui comportamenti piuttosto che sulle firme.
Implicazioni per le organizzazioni
Al di là del contesto specifico, l’episodio ricorda che le campagne di livello avanzato evolvono su più fronti contemporaneamente: tecniche di infezione, meccanismi di persistenza e protezione delle comunicazioni. Le difese non possono limitarsi a un singolo strato di controllo, ma devono combinare verifica della catena di fornitura, monitoraggio dei comportamenti anomali e attenzione alle relazioni di fiducia tra i componenti software.
Per chi gestisce infrastrutture aziendali, il consiglio pratico è duplice: mantenere inventari aggiornati dei software installati, inclusi quelli di sicurezza, e valutare con attenzione qualunque applicazione che comunichi verso l’esterno, indipendentemente da quanto legittima appaia la sua provenienza. La fiducia, in sicurezza, va sempre verificata.
L’attribuzione a Lazarus è coerente con il modus operandi storicamente osservato per questo gruppo, da tempo attivo nel furto di dati e nella diffusione di malware in operazioni con obiettivi economici o di intelligence.
Sul fronte della risposta, gli analisti suggeriscono di prestare particolare attenzione ai software di sicurezza e ai componenti firmati che operano con privilegi elevati, inserendoli nei controlli di integrità e nelle verifiche periodiche della catena di fornitura.
Queste misure, insieme a un aggiornamento costante delle definizioni e a un monitoraggio basato sui comportamenti, rappresentano la contromisura più efficace contro campagne che cercano di nascondersi dentro strumenti considerati affidabili.
Fonte: The Hacker News — https://thehackernews.com/2026/10/lazarus-abuses-south-korean-security.html