Hitachi Vantara potencia el almacenamiento híbrido en Azure
Kaspersky descubre la Operación FlashHole, una campaña de ciberespionaje que combina identidades profesionales fraudulentas, phishing dirigido y criptografía poscuántica para ocultar las comunicaciones de los sistemas infectados.
Los perfiles profesionales falsos y las fotografías generadas con inteligencia artificial se han convertido en parte de las herramientas utilizadas por los grupos de ciberespionaje para infiltrarse en organizaciones. Kaspersky ha identificado una nueva campaña atribuida a Lazarus, denominada Operación FlashHole, que combina estas técnicas de engaño con malware, posibles vulnerabilidades en software legítimo y mecanismos avanzados para dificultar la detección de sus actividades.
La operación, activa desde al menos julio de 2025, ha afectado a organizaciones de distintos sectores en Asia. Aunque la investigación no documenta ataques de esta campaña contra empresas latinoamericanas, Kaspersky advierte de que las técnicas empleadas podrían representar un riesgo para la región, donde el grupo Lazarus cuenta con antecedentes de actividad maliciosa.
La investigación, realizada por el Equipo Global de Investigación y Análisis de Kaspersky (GReAT), describe una estrategia que aprovecha herramientas habituales en el entorno empresarial, como el correo electrónico, los sitios web profesionales y los servicios en la nube, para facilitar la infiltración y mantener el acceso a los sistemas comprometidos.
Perfiles profesionales falsos como puerta de entrada
Uno de los elementos distintivos de la Operación FlashHole es el uso de sitios web que simulan portafolios profesionales y currículos de supuestos candidatos a puestos de trabajo. Los atacantes incorporaron fotografías generadas mediante inteligencia artificial para dar credibilidad a esas identidades y, según los investigadores, podrían haber utilizado también esta tecnología para adaptar los sitios fraudulentos a las características de sus víctimas.
Los enlaces a estas páginas se distribuían mediante correos electrónicos personalizados, una técnica conocida como spear-phishing, que busca aumentar la probabilidad de que el destinatario confíe en el mensaje y acceda al contenido.
Sin embargo, el engaño no sería el único mecanismo de infección. Los investigadores encontraron indicios de que los atacantes podrían haber aprovechado una vulnerabilidad en CrossWeb EX, un software legítimo de seguridad y autenticación utilizado en Asia. Visitar uno de los sitios fraudulentos podía activar esa vulnerabilidad e iniciar la instalación de programas maliciosos.
Este posible vector de ataque amplía el alcance de la campaña: la seguridad de una organización no depende únicamente de que sus empleados reconozcan correos sospechosos, sino también de que las aplicaciones y los sistemas utilizados estén actualizados y protegidos frente a fallos conocidos o todavía no corregidos.
Dos herramientas para mantener el acceso a los sistemas
La investigación identificó dos herramientas maliciosas que no habían sido documentadas anteriormente: TouchHub y ClientHub. Ambas permiten ejecutar instrucciones en los dispositivos comprometidos, instalar otras amenazas y mantener las comunicaciones con los atacantes para facilitar las operaciones de espionaje.
Los investigadores también detectaron una variante que utiliza Dropbox como canal de comunicación. El recurso a un servicio legítimo de almacenamiento en la nube permite camuflar parte de la actividad maliciosa entre conexiones que, en otros contextos, podrían formar parte del funcionamiento habitual de una empresa.
Este tipo de estrategia complica la detección porque obliga a distinguir entre el uso legítimo de herramientas corporativas y las conexiones que los atacantes aprovechan para controlar equipos o intercambiar información.
Criptografía poscuántica al servicio del malware
Otro de los hallazgos relevantes de la Operación FlashHole es el uso de criptografía poscuántica para proteger las comunicaciones entre los equipos infectados y la infraestructura controlada por los atacantes.
Esta tecnología está diseñada para resistir ataques basados en capacidades de computación cuántica, que podrían comprometer determinados sistemas criptográficos convencionales. En este caso, Lazarus la utiliza para dificultar el análisis de las comunicaciones de sus programas maliciosos, según los investigadores de Kaspersky.
El equipo GReAT sitúa el uso de estas capacidades al menos en septiembre de 2024, más de un año antes de la divulgación de la Operación FlashHole. La investigación también describe mecanismos destinados a evitar la detección y ejecutar programas maliciosos sin dejar archivos convencionales en los dispositivos.
«Lo que merece especial atención es la adopción, por parte de Lazarus, de criptografía diseñada para resistir futuras amenazas cuánticas», señaló Sojun Ryu, investigador sénior de seguridad del equipo GReAT de Kaspersky. El investigador añade que el grupo continúa adaptando herramientas conocidas e incorporando nuevas capacidades a sus operaciones.
Qué implica para las empresas de América Latina
Aunque la campaña documentada se ha dirigido hasta ahora contra organizaciones de Asia, las técnicas identificadas son relevantes para las empresas latinoamericanas. Los perfiles profesionales falsos, el phishing personalizado y el abuso de servicios legítimos no dependen de una infraestructura tecnológica exclusiva de una región.
Para reducir el riesgo, Kaspersky recomienda verificar la autenticidad de los currículos y portafolios recibidos, desconfiar de enlaces inesperados, mantener actualizados los sistemas y controlar los accesos a las aplicaciones y los servicios en la nube.
La compañía también aconseja reforzar las capacidades de detección y respuesta ante incidentes, así como utilizar información de inteligencia sobre amenazas para identificar comportamientos sospechosos. Entre las soluciones que propone figuran Kaspersky Next, sus servicios de detección y respuesta gestionadas (MDR), las evaluaciones de compromiso y los servicios de respuesta a incidentes.
La Operación FlashHole refleja una evolución en las técnicas de ciberespionaje: la inteligencia artificial ayuda a construir identidades falsas más creíbles, mientras que el aprovechamiento de software legítimo y los mecanismos avanzados de cifrado contribuyen a mantener el acceso y ocultar las comunicaciones. Para las organizaciones, la respuesta exige combinar la prevención del fraude, la gestión de vulnerabilidades y la vigilancia continua de sus entornos digitales.
La investigación completa de Kaspersky sobre la Operación FlashHole está disponible en su portal de análisis de amenazas, Securelist.
