Kelompok APT Lazarus Mulai Manfaatkan AI dan Kriptografi Pasca-Kuantum

Jakarta: Tim Riset dan Analisis Global Kaspersky (GReAT) mengidentifikasi kampanye spionase siber canggih bertajuk Operasi FlashHole yang dikaitkan dengan kelompok ancaman tingkat tinggi (APT) Lazarus. Kampanye yang terdeteksi aktif sejak Juli 2025 ini telah berdampak pada setidaknya tiga organisasi di Korea Selatan di sektor konstruksi, perangkat lunak, dan manufaktur peralatan komunikasi kabel.

Dalam operasinya, para penyerang menggabungkan teknik spear-phishing, eksploitasi potensi kerentanan pada perangkat lunak otentikasi CrossWeb EX, serta penyebaran malware terbaru. Aktor ancaman membuat situs web portofolio dan CV palsu di GitHub Pages yang menampilkan foto pencari kerja hasil buatan kecerdasan buatan (AI). Taktik umpan ini dirancang khusus untuk menyesuaikan target individu, sejalan dengan pola kampanye bertema pekerjaan khas Lazarus, yaitu Operasi DreamJob.

Selain memanfaatkan AI untuk menyempurnakan serangan rekayasa sosial, Lazarus memperbarui kerangka kerja malware mereka. Peneliti menemukan dua alat berbahaya baru yang belum pernah terdokumentasikan sebelumnya, yaitu TouchHub dan ClientHub.

Kedua komponen tersebut berfungsi menginstal malware tambahan, mengeksekusi perintah pada komputer terinfeksi, dan berkomunikasi dengan server penyerang. Selain itu, versi pembaruan dari alat pengumpul informasi LPEClient dikerahkan untuk mengekstrak detail perlindungan sistem sebelum mengirimkannya ke penyerang.

Hal yang sangat menarik perhatian para peneliti keamanan adalah adopsi mekanisme kriptografi pasca-kuantum ML-KEM-1024 pada LPEClient. Teknologi enkripsi ini digunakan untuk mengamankan saluran komunikasi terenkripsi malware dari potensi ancaman analisis komputer kuantum di masa depan.

Sojun Ryu, peneliti keamanan senior di Kaspersky GReAT, menegaskan pergeseran taktik ini melalui keterangannya. "Lazarus terus memperluas operasinya, meluncurkan kampanye baru sambil memperkenalkan alat-alat baru dan memodifikasi alat-alat yang sudah ada untuk memenuhi kebutuhannya."

"Analisis kami terhadap Operasi FlashHole, bersama dengan bukti dari investigasi sebelumnya, menunjukkan bahwa kelompok ini juga memasukkan AI ke dalam strategi lamanya, sebuah pergeseran yang telah kami amati di antara aktor ancaman lain yang bersekutu dengan Lazarus."

"Yang patut mendapat perhatian lebih adalah adopsi kriptografi oleh Lazarus yang dirancang untuk menahan ancaman kuantum di masa depan. Temuan kami menelusuri penggunaannya setidaknya sejak September 2024, menunjukkan bahwa kemampuan ini telah melindungi komunikasi malware kelompok tersebut lebih dari setahun sebelum pengungkapan ini."

Untuk mengantisipasi ancaman spionase siber canggih seperti Operasi FlashHole, Kaspersky menyarankan organisasi untuk mengedukasi karyawan mengenai identifikasi phishing, memperbarui patch keamanan secara rutin, membatasi hak akses pengguna, serta menerapkan solusi perlindungan terintegrasi seperti Endpoint Detection and Response (EDR) dan Extended Detection and Response (XDR).