OrtaII Siber Savaş ve Kritik Altyapı21 Ekim 2026, Çarşamba
Lazarus, Güney Kore saldırılarında kuantum sonrası şifrelemeye geçti
Kaspersky'nin 21 Ekim'de yayımladığı FlashHole raporuna göre Kuzey Kore bağlantılı Lazarus, Güney Kore'de en az 3 şirketi zorunlu bankacılık güvenlik yazılımı üzerinden vurdu ve yükleri ML-KEM-1024 ile korudu.
Kaspersky'nin Securelist sitesinde 21 Ekim'de yayımlanan rapora göre FlashHole adlı kampanya Temmuz 2025'te başladı ve yazılım, inşaat ve kablolu iletişim ekipmanı üreten en az 3 Güney Kore şirketini vurdu. Kaspersky çok daha fazla kurumun etkilendiğinden emin olduğunu, ancak sayı veremediğini yazıyor. Kampanyayı Lazarus'a, daha önceki SyncHole operasyonunu yürüten grupla aynı aktör olarak orta-yüksek güvenle bağlıyor.
Giriş noktası bir tedarikçi ihlali değil, Güney Kore'de çevrimiçi bankacılık için zorunlu tutulan INISAFE CrossWeb EX yazılımı. Oltalama sayfaları kurbanı GitHub'daki sahte sayfalara yönlendiriyor; bellek içinde çalışan zincir bu yazılımın süreci üzerinden Windows'un meşru fsquirt.exe dosyasını tetikliyor. Son yük Cubridge, dosya yönetimi, komut çalıştırma ve ekran görüntüsü alma yeteneği olan modüler bir arka kapı.
Raporun yeni bulgusu şifreleme. BleepingComputer'ın 21 Ekim haberine göre LPEClient adlı araç, komuta sunucusundan her biri 1.568 baytlık 4 ML-KEM-1024 açık anahtarı alıyor. ML-KEM, ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) kuantum bilgisayarlara dayanıklı kabul ettiği anahtar paylaşım standardı. Kaspersky, grubun bu standardı birçok meşru güvenlik ürününden daha hızlı benimsediğini not ediyor.
Zamanlama da dikkat çekici. Kaspersky'ye göre Güney Kore hükümeti ve güvenlik şirketleri Temmuz 2026'da Lazarus teknikleri hakkında ortak uyarı yayımladı. Zorunlu güvenlik yazılımlarının aşamalı kaldırılması planı ise 2026'da başlıyor; yani saldırganlar, kaldırılmak üzere olan ama 2026'da hâlâ kullanıcı bilgisayarlarında arka planda çalışan bir katmanı kullanıyor.
Talay değerlendirmesi
Sonuç
FlashHole iki şeyi birlikte gösteriyor. Lazarus, Güney Kore'nin zorunlu kıldığı güvenlik yazılımını saldırı yüzeyine çeviriyor ve yük teslimini kuantum sonrası standartla gizliyor. Bu, ağ trafiği incelemesine dayanan savunmanın değerini düşürür; tespit yükü uç nokta ve bellek analizine kayar. En olası yol, kampanyanın 2026'da zorunlu yazılım kaldırılana kadar sürmesi.
Olası etkiler
- Kore savunma ve tedarik zinciriOlumsuzOrta vade
Kurbanlar arasında kablolu iletişim ekipmanı üreticisi var; Lazarus'un iletişim ve yazılım tedarikçilerine yerleşmesi daha büyük müşterilere sıçrama riski yaratır.
- Ağ trafiği tabanlı tespitOlumsuzOrta vade
4 adet ML-KEM-1024 anahtarıyla korunan yükler, şifreli trafiği çözerek inceleyen ağ güvenlik ürünlerini fiilen kör eder.
- Zorunlu yazılım politikasıOlumluUzun vade
Saldırının INISAFE CrossWeb EX üzerinden yürümesi, 2026'da başlayan kaldırma planını hızlandırma argümanını güçlendirir.
İhtimaller
- 1Kampanya genişler%55
Yeni kurbanlar yazılım ve iletişim dışındaki sektörlerde de tespit edilir, Kore makamları ek uyarı yayımlar.
İzlenecek: Güney Kore İnternet ve Güvenlik Ajansı'nın (KISA) FlashHole ya da CrossWeb EX için yeni uyarısı
- 2Kaldırma planı hızlanır%30
Hükümet zorunlu güvenlik yazılımlarının kaldırılmasını öne çeker, saldırgan bu giriş noktasını yitirir.
İzlenecek: Finans Hizmetleri Komisyonu'ndan bankalara takvim değişikliği bildirimi
- 3Grup taktik değiştirir%15
Raporun ardından altyapı terk edilir, aynı aktör farklı bir yerel yazılım üzerinden yeni kampanyaya geçer.
İzlenecek: Kaspersky ya da Kore güvenlik şirketlerinin yeni Lazarus kampanyası raporu
Olasılıklar kaynaklara dayanan kalibre yargıdır, ölçüm değildir; yeni bilgiyle güncellenir. Yatırım tavsiyesi değildir.
Piyasa tepkisi
Etkilenen göstergeler
- Doğrulanan kurban şirket▲ En az 3
- ML-KEM açık anahtar bloğu▲ 4 × 1.568 bayt