Kaspersky descubre que Lazarus usa perfiles laborales falsos y fotos creadas con IA para espiar empresas
La Operación FlashHole, activa desde al menos julio de 2025, combina hojas de vida falsas, una falla en software legítimo y cifrado poscuántico para ocultarse.
Foto: cortesía Kaspersky.
El Equipo Global de Investigación y Análisis de Kaspersky (GReAT) identificó una campaña de ciberespionaje que llamó Operación FlashHole, según una nota de prensa de la empresa. La atribuye a Lazarus, un grupo de amenazas persistentes avanzadas conocido por sus ataques contra organizaciones de todo el mundo. La campaña está activa desde al menos julio de 2025 y hasta ahora ha afectado a organizaciones de distintos sectores en Asia.
Los atacantes crearon sitios que simulaban portafolios profesionales y hojas de vida de supuestos candidatos a empleos, con fotografías generadas con IA para dar apariencia de autenticidad. Los difundían por correos personalizados, la técnica conocida como spear-phishing. Según los investigadores, visitar uno de esos sitios podía activar una posible vulnerabilidad en CrossWeb EX, un software legítimo de seguridad y autenticación usado en Asia, e iniciar la instalación de programas maliciosos.
Kaspersky documentó dos herramientas que no se conocían, TouchHub y ClientHub, que ejecutan instrucciones en los equipos comprometidos, instalan nuevas amenazas y mantienen la comunicación con los atacantes. Una variante usa Dropbox como canal para ocultar sus operaciones. El grupo también cifra el intercambio con sus servidores mediante criptografía poscuántica, diseñada para resistir computadoras cuánticas.
«Lazarus continúa ampliando sus operaciones, lanzando nuevas campañas e incorporando nuevas herramientas, al tiempo que modifica otras ya conocidas para adaptarlas a sus necesidades. Nuestro análisis de la Operación FlashHole, junto con la evidencia de investigaciones anteriores, sugiere que el grupo también está incorporando inteligencia artificial a sus tácticas habituales, un cambio que hemos observado en otros actores de amenazas vinculados con Lazarus. Lo que merece especial atención es la adopción, por parte de Lazarus, de criptografía diseñada para resistir futuras amenazas cuánticas. Nuestros hallazgos permiten rastrear su uso hasta al menos septiembre de 2024, lo que demuestra que estas capacidades ya protegían las comunicaciones del malware del grupo más de un año antes de esta divulgación», afirmó Sojun Ryu, investigador sénior de seguridad del equipo GReAT de Kaspersky.
La empresa advierte que estas técnicas podrían usarse contra empresas latinoamericanas, porque se apoyan en correo, sitios profesionales y servicios en la nube de uso diario. Recomienda verificar correos, hojas de vida y portafolios inesperados, instalar a tiempo los parches, limitar permisos según funciones y vigilar conexiones inusuales a servicios en la nube.
Fuente: nota de prensa de Kaspersky (21 de octubre de 2026).