«Лаборатория Касперского» 21 октября раскрыла кампанию FlashHole: в цепочке заражения компьютеров участвовала CrossWeb EX — программа, необходимая для доступа к распространённым банковским и государственным сайтам Южной Кореи. Исследователи связали атаки с Lazarus и обнаружили как минимум три пострадавшие организации — в разработке ПО, строительстве и производстве оборудования связи. Реагирование началось в январе 2026 года; самые ранние найденные следы относятся к июлю 2025-го.

CrossWeb EX должна шифровать обмен между браузером и сервером. В расследованной атаке её процесс запускал штатную программу Windows, внутри которой выполнялся вредоносный код. Начальная цепочка работала в памяти, затрудняя поиск следов на диске. Вероятным входом исследователи считают письма со ссылками на поддельные резюме и портфолио; точный способ злоупотребления CrossWeb EX установить не удалось.

В обновлённом наборе инструментов обнаружили и постквантовый механизм обмена ключами ML-KEM-1024: он защищал доставку следующих вредоносных компонентов. Это применение современной криптографии атакующими, а не взлом самой криптографии. Общий масштаб кампании и объём похищенных данных не установлены.

Риск обязательной установки такого ПО исследовали и авторы работы USENIX Security 2025. Они показали, что дополнительные защитные приложения могут обходить изоляцию браузера и создавать новые пути атаки; найденные ими 19 уязвимостей были исправлены. Отождествлять их с неизвестным способом проникновения FlashHole нельзя. Новый отчёт показывает практическую сторону проблемы: программа, которую пользователь устанавливает ради доступа к защищённому сервису, сама оказывается участником заражения.