Grupa Lazarus, powiązana z Koreą Północną, prowadzi zaawansowaną kampanię szpiegowską o kryptonimie Operation FlashHole. Ataki wymierzone są w południowokoreańskie sektory budowlany, programistyczny oraz producentów sprzętu telekomunikacyjnego. Napastnicy wykorzystują zaufane, lecz podatne oprogramowanie zabezpieczające, takie jak INISAFE CrossWeb EX, które jest powszechnie stosowane w koreańskim sektorze bankowym i administracyjnym.
Mechanizm infekcji jest wieloetapowy i niezwykle złożony. Atak często zaczyna się od spear-phishingu lub ataków typu watering hole, kierujących ofiary na złośliwe strony (np. na GitHub Pages). Wykorzystując luki w oprogramowaniu zabezpieczającym, napastnicy stosują techniki DLL sideloading, aby uruchomić złośliwe biblioteki, takie jak TechHub czy TouchHub. Część operacji odbywa się wyłącznie w pamięci RAM, co utrudnia detekcję przez tradycyjne systemy antywirusowe.
Cały łańcuch infekcji służy do wdrażania rozbudowanego frameworka malware. Narzędzia takie jak Cubridge pozwalają na komunikację z serwerami C2, kradzież danych przeglądarki i plików, a także pobieranie dodatkowych modułów. Wykryto również wykorzystanie narzędzi do eskalacji uprawnień oraz zaawansowane techniki ukrywania obecności w systemie, co świadczy o wysokim stopniu profesjonalizmu grupy.
