Operation FlashHole : Lazarus cible des entreprises sud-coréennes avec un logiciel de sécurité détourné, selon Kaspersky.

Le groupe Lazarus, lié à la Corée du Nord, est de nouveau au centre d’une campagne d’espionnage. Baptisée Operation FlashHole, elle vise des organisations en Corée du Sud. Selon Kaspersky, l’activité remonte au moins à juillet 2025. Les chercheurs notent aussi un détail rare : l’usage d’un chiffrement post-quantique pour déployer des logiciels malveillants.

Operation FlashHole : une campagne d’espionnage ciblée

Kaspersky a identifié au moins trois victimes. Toutes se trouvent en Corée du Sud. Elles appartiennent toutefois à des secteurs différents : la construction, le développement de logiciels et la fabrication d’équipements de communication filaire.

Cette diversité mérite d’être soulignée. En effet, elle suggère que les attaquants ne s’intéressent pas à une seule industrie. Ils semblent plutôt chercher des cibles offrant un accès à des informations stratégiques ou à d’autres organisations.

Le groupe Lazarus est connu de longue date. Les services de sécurité lui attribuent des opérations d’espionnage, mais aussi des attaques financières. La Corée du Sud figure régulièrement parmi ses cibles prioritaires. Cette nouvelle campagne s’inscrit donc dans une tendance bien installée.

Un logiciel de sécurité sud-coréen détourné

L’élément le plus marquant concerne le vecteur d’attaque. D’après les informations disponibles, Lazarus abuse d’un logiciel de sécurité sud-coréen. Ce type d’outil est souvent installé massivement dans les entreprises du pays. Il tourne généralement avec des privilèges élevés.

Pour un attaquant, c’est une excellente porte d’entrée. D’abord, ces programmes sont considérés comme légitimes. Ensuite, ils s’exécutent souvent avec de larges droits sur le poste. Enfin, leur activité attire moins la méfiance des équipes de sécurité.

Détourner un logiciel de confiance présente donc plusieurs avantages :

• l’action malveillante se fond dans un processus légitime ;
• les privilèges obtenus facilitent le déploiement de charges supplémentaires ;
• les alertes sont potentiellement moins nombreuses ;
• l’outil est déjà présent chez de nombreuses organisations locales.

Les éléments transmis ne détaillent pas ici le mécanisme exact d’exploitation. Il convient donc de rester prudent sur ce point. Nous recommandons de consulter le rapport complet de Kaspersky pour les indicateurs techniques précis.

Chiffrement post-quantique : pourquoi cet élément intrigue

Le chiffrement post-quantique regroupe des algorithmes conçus pour résister aux futurs ordinateurs quantiques. Ces machines pourraient un jour casser certains systèmes cryptographiques actuels. Les chercheurs et les gouvernements préparent donc la transition depuis plusieurs années.

Or, ces algorithmes servent habituellement à protéger des données légitimes. Les voir associés à un déploiement de malware est inhabituel. Cela montre que les groupes avancés suivent l’évolution des techniques cryptographiques. Autrement dit, ils intègrent rapidement les nouveautés dans leur arsenal.

Pour les défenseurs, l’enjeu pratique est différent de celui de l’avenir quantique. Un ordinateur quantique n’est pas nécessaire pour compliquer l’analyse. Un chiffrement robuste peut gêner l’inspection du trafic. Il peut aussi ralentir le travail des analystes qui étudient les charges malveillantes.

Par ailleurs, ce choix confirme un point important. Lazarus investit dans des outils sophistiqués et ne se contente pas de recycler de vieux codes. Les équipes de défense doivent donc s’attendre à des évolutions rapides.

Ce qu’il faut retenir face à Operation FlashHole

Les informations publiées sont encore limitées. Cependant, plusieurs enseignements ressortent déjà de cette campagne.

• Attribution : Kaspersky relie Operation FlashHole au groupe Lazarus, lié à la Corée du Nord.
• Période : l’activité est observée depuis au moins juillet 2025.
• Victimes : au moins trois organisations sud-coréennes, dans la construction, le logiciel et les équipements de communication filaire.
• Technique : abus d’un logiciel de sécurité sud-coréen et recours à un chiffrement post-quantique.

Recommandations pour les entreprises

Les organisations sud-coréennes, ou celles qui travaillent avec elles, doivent agir sans attendre. D’abord, vérifiez que tous les logiciels de sécurité installés sont à jour. Ensuite, auditez leurs privilèges et limitez-les autant que possible.

Il faut également surveiller les comportements inhabituels des processus de confiance. Par exemple, un outil de sécurité qui lance des programmes inconnus doit déclencher une alerte. De plus, la segmentation du réseau limite la propagation en cas de compromission.

Enfin, intégrez les indicateurs de compromission publiés par Kaspersky à vos outils de détection. Par conséquent, vos équipes pourront repérer plus vite d’éventuelles traces de cette campagne. Une veille régulière sur les activités de Lazarus reste, elle aussi, indispensable.

Source : Lazarus Abuses South Korean Security Software to Deploy Malware Using Post-Quantum Encryption