GReAT, söz konusu operasyonun Lazarus’un ilk kez geçtiğimiz yıl tespit edilen Operation SyncHole harekâtıyla bağlantılı yeni bir saldırı dalgası olduğunu ortaya koydu. Tehdit aktörlerinin araç ve tekniklerini zaman içinde geliştirerek harekâtı çok daha kalıcı ve gelişmiş bir yapıya kavuşturduğu görülüyor.
Araştırmacılar, harekât kapsamında komuta ve kontrol (C2) kanalı olarak istismar edilen bir GitHub hesabıyla bağlantılı bir GitHub Pages web sitesi keşfetti. Eylül 2025’te açılan bu hesap, başlangıçta kıdemli bir ağ cihazı geliştiricisine ait sahte bir öz geçmiş sitesine ev sahipliği yapıyordu.
Bu yem, Lazarus’un iş arama temalı imzası niteliğindeki Operation DreamJob yaklaşımıyla birebir örtüşüyor. Sayfada sahte iş arayana ait yapay zekâ ile üretilmiş bir portre fotoğrafının yer alması, araştırmacıların saldırganların siteleri hedeflere özel uyarlarken de yapay zekâdan yararlandığı sonucuna varmasını sağladı. Harekât; hedef alınan kişilere özel olarak kurgulanmış portföy ve öz geçmiş sitelerine yönlendiren bağlantıların yer aldığı hedefli oltalama e-postalarıyla başlatıldı.
Araştırma bulguları, kötü amaçlı sitenin ziyaret edilmesinin, Güney Kore’de yaygın olarak kullanılan bir güvenlik eklentisi ve web kimlik doğrulama yazılımı olan CrossWeb EX üzerinden bir bulaşma zincirini tetikleme ihtimalinin oldukça yüksek olduğunu gösteriyor. Saldırı faaliyetinin, CrossWeb EX yazılımındaki potansiyel bir güvenlik açığından yararlanılarak gerçekleştirilmiş ve saldırganlara ilk sızma noktasını sağlamış olabileceği değerlendiriliyor. Nitekim daha önce de söz konusu finansal güvenlik yazılımında bir zafiyet bulunduğunu doğrulayan bir güvenlik bildirimi yayımlanmıştı. Kapsamlı analizler neticesinde çok sayıda zararlı yükü (payload) tespit eden araştırmacılar, bulaşma zincirini yeniden yapılandırarak sofistike bir zararlı yazılım dağıtım altyapısını ve hedef sistemlerdeki izleri gizlemeye yarayan gelişmiş teknikleri gün yüzüne çıkardı.
Saldırganlar, mevcut zararlı yazılımlarının güncel sürümlerini daha önce belgelenmemiş iki yeni araçla —TouchHub ve ClientHub— harmanladı. Nihai hedefi siber casusluk olan bu bileşenler; hedeflenen bilgisayarlara ilave zararlı yazılımlar yüklüyor, komutlar çalıştırıyor ve saldırganlarla iletişimi sürdürüyor. Yeni araçlardan birinin, operatörleriyle iletişim kurmak için Dropbox platformundan yararlanan bir varyantı da bulunuyor.
Kampanyada ayrıca, Lazarus grubunun uzun süredir kullandığı ve ele geçirilen bilgisayarlar hakkında bilgi toplayarak ek zararlı yazılımlar yükleyen LPEClient aracının güncellenmiş bir sürümüne rastlandı. Yeni sürüm; sistemlerde yüklü güvenlik yazılımları, Windows güvenlik korumaları ve diğer sistem özellikleri hakkında bilgi topluyor. Ardından bu verileri sıkıştırıp şifreleyerek saldırganlara gönderiyor.
Güncellenen LPEClient, gelecekteki kuantum bilgisayarların gerçekleştirebileceği olası saldırılara karşı iletişimi korumak amacıyla tasarlanan kuantum sonrası bir kriptografik mekanizma olan ML-KEM-1024’ü de kullanıyor. Araç, ek zararlı yazılımları indirmeden ve doğrudan bellek üzerinde çalıştırmadan önce saldırganların sunucusuyla şifreli bir bağlantı kurmak için bu mekanizmadan yararlanıyor. Tespit edilmekten kaçınmak amacıyla bellek koruma ayarlarını değiştirerek ve güvenlik araçlarının şüpheli sistem faaliyetlerini belirlemek için kullandığı bir izleme kancasını (hook) devre dışı bırakarak güvenlik izleme mekanizmalarını da aşmaya çalışıyor.
