大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
大名鼎鼎的Lazarus（拉撒路）团伙又出新招，代号Operation FlashHole（闪光洞行动），是去年SyncHole行动的全新升级版。
从2025年7月就开始秘密筹备：AI生成虚假求职简历网站做诱饵、滥用韩国官方金融安全软件CrossWeb EX完成初始突破，整套恶意载荷绝大部分只在内存运行，甚至用上了后量子抗量子加密ML‑KEM‑1024来保护通信链路，GitHub私有仓库直接充当黑客指挥服务器。
软件、建筑、通信设备制造多家韩国企业已经中招。整套模块化恶意武器库包含TechHub、Cubridge、TouchHub、TouchShift、ClientHub、LPEClient六大组件，分层执行入侵、持久化、情报窃取。
注：该团伙就是“传染性面试”、多起加密货币大案背后的Lazarus集群。
🎣攻击入口：AI造假简历网页，借正规安全软件打开缺口
攻击者延续Dream Job传染性面试的社工思路，搭建GitHub Pages钓鱼网站。
第一版页面：伪装高级网络设备开发者个人简历，人物头像AI生成，没有EXIF图片元数据，人名也是类似“张三”的通用化名；
后续改版：切换成室内设计作品集页面，适配建筑行业目标；
受害者收到鱼叉钓鱼邮件，点击链接访问网页，页面内嵌恶意JS脚本，触发整套入侵链路。
真正的突破口，是韩国上网必备的安全组件 INISAFE CrossWeb EX。
访问韩国网银、政务网站强制安装这套程序，后台常驻`INISAFECrossWebEXSvc.exe`高权限进程。黑客利用它执行合法系统程序`fsquirt.exe`，向进程注入shellcode，落地第一阶段下载器TechHub。
最狠一点：初始阶段全部在内存执行，磁盘几乎不留痕迹，传统杀毒很难捕获。
⚙️完整多阶段杀伤链，六大恶意组件各司其职
入侵不是一个大exe搞定，是一环套一环的模块化流水线：
1. TechHub（初始下载器）
入侵链条的起点，不使用传统自建C2服务器，直接调用GitHub API私有仓库作为指挥中枢。
每一台中毒主机生成唯一十六进制设备ID，通过GitHub Issues、私有文件完成握手：创建issue交换RSA公钥，AES加密传输采集到主机信息，下发下一步指令。
支持主机信息搜集、内存反射加载shellcode、进程退出、心跳上报四大核心命令。
2. TouchHub + TouchShift：搭建高权限持久化后门
TechHub落地之后，部署TouchHub做持久化安装：
拷贝系统自带`printfilterpipelinesvc.exe`，放到`C:\Windows\System32\RasConv\ImeBroker.exe`；
旁边放置恶意DLL `mscoree.dll`（TouchShift），利用DLL侧加载执行；
随机挑选系统svchost服务名字，注册新Windows服务，拿到SYSTEM最高权限；
篡改文件MAC时间戳，匹配系统驱动文件时间，干扰取证分析。
TouchShift作为加载器，通过复杂多轮XOR‑AES解密，释放第三版TechHub，读取本地配置文件`ActivationStore.dat`。
3. ClientHub：多通道通信中继站
全新开发的中继组件，可以走普通HTTPS，也可以直接调用Dropbox API传输数据；
使用SNOW流加密算法加密配置与通信载荷，模仿Chrome浏览器请求头（Sec‑CH‑UA系列），流量看起来完全像普通网页浏览。
内置大量插件：文件搜集、压缩归档、文件彻底擦除、磁盘与远程会话监控。
安全研究员比对代码，确认ClientHub是旧工具CookiePlus的重大升级版本。
4. LPEClient：系统侦察 + 后量子加密通信（最大技术亮点）
继承SyncHole行动的老牌工具，本次做史诗级升级：
不再硬编码C2地址，通过ClientHub作为中间代理转发全部流量；
深度侦察系统：读取WMI库识别杀毒软件、查询Windows内核安全缓解机制（CET、内核VA Shadow防护）；
引入NIST标准化的ML‑KEM‑1024后量子加密算法，生成共享密钥保护后续载荷传输，对抗未来量子破解；
绕过用户态EDR钩子，绕过安全产品监控，最后把重量级框架Cubridge载入内存。
5. Cubridge：整套间谍行动总调度框架
相当于整套武器库的“中控大脑”，大量复用LightlessCan设计思路。
C2 URL用随机词语拼接：`economy/opinion/politics/article`这类新闻式路径，伪装成新闻网页访问；
RSA+RC6混合握手加密；
分成三大类可动态加载单元：
✅工具：浏览器凭证窃取器、进程采集器
✅插件：AD域LDAP查询ADFinder、递归文件扫描FileCollector
✅模块：ActionModule执行文件/进程操作；FunctionModule模拟全套Windows系统命令（ipconfig、netstat、reg、解密Chrome密码库等）
支持文件粉碎覆盖删除、PPID伪造进程注入、截图、目录遍历、批量窃取浏览器凭据。
整套框架全部按需内存加载，磁盘很少落文件，想要清除必须完整梳理服务、DLL侧加载目录、计划任务、GitHub异常外发行为。
🎯受害对象与团伙关联关系
FlashHole行动最早样本时间2025‑07，攻击韩国软件、建筑、有线通信设备制造企业。
和去年SyncHole行动同源，共用LPEClient组件，属于Cascade Hole大系列；
工具库和Dream Job（传染性面试）高度重合；
同一Lazarus团伙同时有多条战线并行：
1. FlashHole/SyncHole：针对韩国本土，滥用本地安全软件做间谍窃密；
2. Dream Job：面向全球开发者求职社工；
3. COPPERHEDGE集群：攻击完成后转向勒索、暗网泄露变现。
值得注意：韩国计划从2026开始逐步淘汰强制安装的这类第三方网银安全软件，攻击者会抓紧窗口期加大攻击。
⚠️企业运维自查&防御要点
1. 重点监控CrossWeb EX进程行为
`INISAFECrossWebEXSvc.exe`衍生启动`fsquirt.exe`，并且发生内存注入、向外访问GitHub私有仓库API，属于高危告警信号。
2. 排查可疑持久化路径
重点目录：
`C:\Windows\System32\RasConv\`、`C:\Program Files\Common Files\System\msadc\msadc.inc`
查找陌生服务，名字模仿系统svchost组服务，可执行文件来自`RasConv`目录，伴随`mscoree.dll`恶意侧加载DLL。
3. 网络行为告警规则
内网终端高频访问GitHub API，使用Personal Access Token访问私有仓库；
异常访问Dropbox API做大量加密数据上传；
HTTP请求路径大量出现economy / politics / article / list这类新闻随机拼接URL。
4. 终端行为检测重点
程序篡改文件MAC时间戳伪造系统文件时间；
进程读取WMI OBJECTS.DATA数据库暴力枚举杀毒软件；
内存反射加载大量shellcode，磁盘找不到对应PE样本。
5. 员工安全意识
警惕GitHub Pages、陌生作品集、求职简历网页的钓鱼链接；不要随意点击邮件发来的个人简历、设计师作品集链接。
6. 不要完全依赖杀毒引擎
该攻击大量载荷驻留内存，磁盘痕迹极少，需要EDR行为分析，不能只靠静态病毒库查杀。
✍️安全行业深度思考
1. APT已经率先用上后量子加密
很多普通政企业务还没有落地抗量子安全改造，而Lazarus已经把ML‑KEM‑1024后量子密钥封装植入恶意软件，保护C2通信，提升解密溯源的难度。
2. 合法云平台已经完全变成APT基础设施
GitHub私有仓库当C2指挥中心，Dropbox做数据外传，流量全部是公有云正常HTTPS，单纯拉黑域名IP基本失效，防御重心必须转向行为检测。
3. 强制安装的本土安全软件，变成高危突破口
韩国CrossWeb EX这类国民级强制安全组件，高权限后台常驻，一旦被APT盯上，直接成为入侵跳板。安全软件本身反而扩大攻击面。
4. 模块化内存恶意代码，给应急响应带来巨大挑战
大量组件只跑在内存，重启机器内存痕迹消失，只靠磁盘查杀根本无法确认是否完全清除入侵。应急处置必须完整梳理服务、dll‑side‑loading目录、网络外发行为，而不是简单重装终端。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。