卡巴斯基：Lazarus 借韩国学会与媒体网站搭建恶意代码通信据点

全球安全企业卡巴斯基在一份报告中称，与朝鲜关联的黑客组织 Lazarus 针对韩国企业的网络攻击中，可能将韩国妇产科学会以及媒体、建设公司、室内装饰企业等网站地址用作恶意代码的通信据点。相关地址被列为侵害指标（IOC），即显示网络攻击正在进行或已发生侵害可能性的技术线索。

卡巴斯基将这一攻击行动命名为“闪存洞”，认定其是针对韩国企业的网络间谍作战。目前该网站被恶意利用的具体方式、服务器被侵害的范围以及个人信息是否泄露，均尚未得到确认。妇产科学会方面表示，正在向安全企业告知事实，并确认是否发生泄露。

攻击行动与发现经过

研究人员从2025年7月开始确认到相关攻击痕迹，随后在报告中把韩国妇产科学会网站的下位地址，以及媒体、建设公司、室内装饰企业等国内网站地址列为侵害指标。侵害指标是显示网络攻击正在进行或已发生侵害可能性的技术线索，被列入其中意味着这些地址可能与恶意代码的活动存在关联。

报告显示，受到影响的至少包括国内软件、建设、有线通信设备制造领域的三个组织。卡巴斯基方面认为，“闪存洞”是以韩国企业为对象的网络间谍作战，其目标指向较为明确，而非随机扩散的攻击。

从已公开的信息看，攻击者并未直接攻破这些网站本身来存放恶意程序，而是把其地址当作恶意代码回连的落点。这一做法使攻击流量混入正常网站的访问之中，增加了识别难度。

据报告书说明，妇产科学会网站地址被用作恶意代码的命令控制地址。命令控制服务器是黑客向已感染电脑发送指令并交换信息的通信据点：被感染的电脑连接指定地址，接收指示后再把结果回传，形成一套双向的远程操控通道。

攻击者还借助正常的网络服务来隐藏这类通信。由于数据交换的形式与访问一般网站相似，安全人员很难把恶意通信从正常流量中区分出来。这种手法并不依赖自建服务器，而是寄生在可信度较高的网站上，从而降低被拦截的概率。

在初始入侵环节，黑客针对目标企业制作了虚假的投资组合和简历网站，再通过电子邮件发送链接，诱导收件人登录。报告推测，假简历网站上使用了人工智能生成的人物照片，以增强可信度。

卡巴斯基还分析认为，作为国内金融及公共网站安全认证程序广泛使用的“INISAFE CrossWeb EX”，很可能在恶意代码感染过程中被恶意利用。研究组通过该程序的执行文件，确认了恶意代码技术中心被执行后进一步运行其他恶意代码的路径。

这意味着攻击链可能由多个环节组成：先以钓鱼邮件和假网站引诱目标，再借助用户环境中已安装的认证程序完成后续载荷的投放与执行。报告并未说明具体受害企业中哪些环节被触发。

从目前披露的情况看，被波及的领域包括软件、建设、有线通信设备制造，以及被用作通信据点的妇产科学会、媒体、建设公司和室内装饰企业网站。前者是攻击目标，后者更多是通信链条上被借用的地址，两者性质并不相同。

卡巴斯基将相关地址列入侵害指标，但报告没有给出被感染电脑的数量、攻击持续的时间跨度，也没有说明是否有数据被窃取。网站服务器是否被实际入侵、入侵范围多大，同样没有结论。

妇产科学会方面的回应目前仅限于向安全企业告知事实并核查泄露可能。在安全企业和网站运营方完成调查之前，这起事件的影响范围仍存在不确定性。

卡巴斯基认为，“闪存洞”作战与过去瞄准软件、IT、金融、半导体、通信领域的“天坑”作战具有相连接的性质。两个作战都被归入 Lazarus 针对韩国的攻击序列之中。

按照报告的判断，这两次行动是以韩国软件为途径、向韩国传递恶意代码的大规模网络攻击“Cascade Hall”的一部分。也就是说，“闪存洞”并非孤立事件，而是同一攻击体系下的一个分支。

Lazarus 被普遍认为与朝鲜关联。此次报告把韩国本土网站地址纳入命令控制基础设施，说明攻击者倾向于利用目标国境内的正常网络资源来维持通信，这一特征与上述行动的延续性判断相互印证。