La nueva campaña de ciberespionaje combina perfiles profesionales fraudulentos, inteligencia artificial y técnicas avanzadas para ocultar actividades maliciosas. Kaspersky advierte que estas tácticas también podrían representar un riesgo para América Latina, donde Lazarus ya tiene antecedentes de actividad.
Hojas de vida falsas, perfiles profesionales engañosos y fotografías creadas con inteligencia artificial (IA) están siendo utilizados por ciberdelincuentes para infiltrarse en empresas y robar información. Así lo descubrieron expertos de Kaspersky al identificar una nueva campaña de ciberespionaje denominada Operación FlashHole, atribuida a Lazarus, un grupo de amenazas persistentes avanzadas (APT) conocido por realizar ataques informáticos sofisticados contra organizaciones de todo el mundo.
En esta operación, los atacantes también aprovecharon una posible vulnerabilidad en un software legítimo para iniciar la infección de los equipos, combinando este método con programas maliciosos y técnicas avanzadas de cifrado para comprometer los sistemas de sus víctimas y evitar ser detectados.
La investigación, realizada por el Equipo Global de Investigación y Análisis de Kaspersky (GReAT), cobra especial relevancia para América Latina, donde Lazarus ya tiene antecedentes de actividad maliciosa. Aunque esta nueva campaña, activa desde al menos julio de 2025, ha afectado hasta ahora a organizaciones de distintos sectores en Asia, las técnicas identificadas también podrían utilizarse contra empresas latinoamericanas, pues aprovechan herramientas de uso cotidiano, como correos electrónicos, sitios web profesionales y servicios en la nube. Esto refuerza la importancia de que las organizaciones de la región conozcan estas amenazas y fortalezcan sus medidas de protección.
Una de las principales características de esta operación es el uso de inteligencia artificial para hacer más creíbles los engaños. Los atacantes crearon sitios web que simulaban portafolios profesionales y hojas de vida de supuestos candidatos a empleos. Incluso utilizaron fotografías generadas con IA para dar apariencia de autenticidad a los perfiles falsos. Los investigadores también consideran que esta tecnología puede utilizarse para adaptar los sitios fraudulentos a los perfiles de las víctimas.
Estos sitios eran difundidos mediante correos electrónicos personalizados, una técnica conocida como spear-phishing, diseñada para aumentar las probabilidades de que los destinatarios confiaran en el contenido y accedieron a los enlaces. Sin embargo, uno de los hallazgos más relevantes de la investigación es que la infecció no dependía únicamente del engaño a las víctimas, sino también del aprovechamient de una posible vulnerabilidad en CrossWeb EX, un software legítimo de seguridad autenticación utilizado en Asia. Los investigadores encontraron indicios de que visita uno de los sitios fraudulentos podía activar esta vulnerabilidad e iniciar la instalació de programas maliciosos en los equipos. Esto evidencia cómo los ciberdelincuente pueden aprovechar fallas en herramientas legítimas para comprometer los sistema sin despertar sospechas.
La investigación también permitió identificar dos herramientas maliciosas que no habían sido documentadas anteriormente, llamadas TouchHub y ClientHub. Estas permiten ejecutar instrucciones en los dispositivos comprometidos, instalar nuevas amenazas y mantener la comunicación con los atacantes para facilitar las actividades de ciberespionaje. Incluso se detectó una variante que utiliza Dropbox como canal de comunicación, aprovechando un servicio legítimo para ocultar sus operaciones.
Otro de los hallazgos más llamativos es que Lazarus está utilizando una tecnología de cifrado diseñada para resistir ataques de futuras computadoras cuánticas. Se trata de la criptografía poscuántica, un sistema de seguridad que permite proteger la información mediante códigos matemáticos muy complejos, creados para que incluso las computadoras cuánticas, que podrían resolver ciertos problemas mucho más rápido que las actuales, tengan dificultades para descifrarlos.
Aunque esta tecnología fue desarrollada para proteger las comunicaciones, los ciberdelincuentes la están aprovechando para ocultar el intercambio de información entre los equipos infectados y sus propios servidores, dificultando que los expertos en seguridad puedan analizar sus actividades. Además, incorporaron mecanismos para evitar ser detectados y ejecutar programas maliciosos sin dejar archivos convencionales en los dispositivos.
“Lazarus continúa ampliando sus operaciones, lanzando nuevas campañas e incorporando nuevas herramientas, al tiempo que modifica otras ya conocidas para adaptarlas a sus necesidades. Nuestro análisis de la Operación FlashHole, junto con la evidencia de investigaciones anteriores, sugiere que el grupo también está incorporando inteligencia artificial a sus tácticas habituales, un cambio que hemos observado en otros actores de amenazas vinculados con Lazarus. Lo que merece especial atención es la adopción, por parte de Lazarus, de criptografía diseñada para resistir futuras amenazas cuánticas. Nuestros hallazgos permiten rastrear su uso hasta al menos septiembre de 2024, lo que demuestra que estas capacidades ya protegían las comunicaciones del malware del grupo más de un año antes de esta divulgación”, afirma Sojun Ryu, investigador sénior de seguridad del equipo
GReAT de Kaspersky.
%202.12.56%20p.m..png)
%205.15.56%20a.m..png)
