A Kaspersky identificou uma nova campanha de ciberespionagem atribuída ao grupo Lazarus, conhecida como Operação FlashHole. A ação utiliza currículos falsos, perfis profissionais enganosos e fotografias geradas por inteligência artificial (IA) para atrair vítimas e comprometer computadores de empresas.
Segundo a equipe Global de Pesquisa e Análise (GReAT) da Kaspersky, a campanha está ativa desde pelo menos julho de 2025 e já afetou organizações de diferentes setores na Ásia. Embora os ataques identificados tenham se concentrado nessa região, a empresa alerta que as técnicas utilizadas podem representar riscos para organizações da América Latina, onde o grupo Lazarus já possui histórico de atuação.
As descobertas foram apresentadas durante o Security Analyst Summit, realizado em Bali, na Indonésia.
Inteligência artificial ajuda a criar identidades falsas
Uma das características da Operação FlashHole é o uso de inteligência artificial para tornar as abordagens mais convincentes. Os criminosos criaram sites que simulavam portfólios profissionais e currículos de supostos candidatos a vagas de emprego, incluindo fotografias geradas artificialmente para dar credibilidade aos perfis.
Os pesquisadores também consideram a possibilidade de que a tecnologia tenha sido utilizada para adaptar os sites fraudulentos aos perfis das vítimas, tornando as abordagens mais personalizadas.
Os links para essas páginas eram enviados por e-mails direcionados, elaborados para despertar a confiança dos destinatários e incentivá-los a acessar o conteúdo. A estratégia combina engenharia social com recursos tecnológicos para aumentar as chances de comprometimento dos sistemas.
Possível falha em software inicia a infecção
A investigação identificou indícios de exploração de uma possível vulnerabilidade no CrossWeb EX, software legítimo de segurança amplamente utilizado na Ásia. De acordo com a análise da Kaspersky, a visita a uma página fraudulenta poderia acionar a falha e iniciar a instalação oculta de programas maliciosos no computador da vítima.
A técnica permite que os invasores utilizem um software legítimo como parte do processo de comprometimento, dificultando a identificação da atividade suspeita.
Durante a análise, os pesquisadores também descobriram duas ferramentas de ataque até então inéditas, chamadas TouchHub e ClientHub. Elas funcionam como portas dos fundos, permitindo que os invasores controlem dispositivos comprometidos, instalem outras ameaças e mantenham a comunicação necessária para executar operações de ciberespionagem.
Outra técnica identificada envolve o uso do Dropbox, serviço legítimo de armazenamento em nuvem, para ocultar atividades relacionadas ao roubo de dados.
Lazarus utiliza criptografia resistente a ameaças quânticas
Outro aspecto destacado pela Kaspersky foi o uso de criptografia pós-quântica pelo grupo Lazarus. Essa tecnologia foi desenvolvida para proteger comunicações contra ataques que possam utilizar computadores quânticos, capazes de executar determinados cálculos de maneira diferente dos computadores convencionais.
Segundo os pesquisadores, evidências da investigação e de análises anteriores indicam que o grupo utiliza esse tipo de proteção desde pelo menos setembro de 2024, mais de um ano antes da divulgação da Operação FlashHole.
“O grupo Lazarus continua expandindo suas operações, lançando novas campanhas e incorporando novas ferramentas, enquanto modifica as já conhecidas para atender às suas necessidades. Nossa análise da Operação FlashHole, juntamente com evidências de pesquisas anteriores, sugere que o grupo também está incorporando inteligência artificial em suas táticas usuais, uma mudança que observamos em outros atores de ameaça ligados ao Lazarus. O que merece atenção especial é a adoção, pelo Lazarus, da criptografia projetada para resistir a futuras ameaças quânticas. Nossas descobertas nos permitem rastrear seu uso até pelo menos setembro de 2024, demonstrando que essas capacidades já protegiam as comunicações contra o malware do grupo mais de um ano antes dessa divulgação”, diz Sojun Ryu, pesquisador sênior de segurança da equipe GReAT da Kaspersky.
Empresas latino-americanas devem reforçar a proteção
Para as organizações da América Latina, a campanha evidencia como grupos de ciberespionagem podem combinar engenharia social, inteligência artificial e exploração de possíveis vulnerabilidades para comprometer ambientes corporativos.
O uso de perfis profissionais falsos e de serviços digitais legítimos para ocultar atividades maliciosas também demonstra que a proteção não deve se limitar à identificação de e-mails suspeitos.
A adoção de medidas de segurança em múltiplas camadas, a atualização de softwares, o monitoramento de atividades incomuns e a conscientização dos funcionários são práticas importantes para reduzir os riscos de invasões e roubo de informações.
