Lazarus își ascunde malware-ul cu criptografie post-cuantică: Operațiunea FlashHole

Un grup de atacatori legat de Coreea de Nord își protejează acum malware-ul cu ML-KEM-1024, algoritmul post-cuantic de încapsulare a cheilor standardizat de NIST în FIPS 203. Cercetătorii Kaspersky atribuie activitatea grupului Lazarus și au numit-o Operațiunea FlashHole. Scopul nu este să învingă calculatoarele cuantice. Scopul este ca încărcăturile din etapele următoare să rămână ascunse de instrumentele de securitate care monitorizează stațiile de lucru.

Ce s-a întâmplat

Potrivit Kaspersky, au fost afectate cel puțin trei organizații din Coreea de Sud, din sectoarele software, construcții și echipamente de comunicații prin cablu. Cele mai vechi dovezi ale campaniei datează din iulie 2025.

Cel mai probabil, punctul de intrare a fost phishingul țintit. Victimele au fost direcționate către site-uri-capcană create special, între care un portofoliu fals de CV și o pagină de design interior. Cercetătorii au găsit linkuri malițioase în aceste site-uri și cred că simpla vizitare a lor ar fi putut declanșa infectarea. Nu au putut confirma fiecare pas al compromiterii inițiale, așa că rolul exact al fiecărei capcane rămâne o evaluare, nu o succesiune dovedită.

După accesul inițial, lanțul a rulat cod malițios sub procesul CrossWeb EX, un program de securitate financiară folosit pentru accesarea unor site-uri bancare și guvernamentale sud-coreene. Atacatorii s-au bazat și pe software Windows legitim și pe execuție în memorie, ca să lase cât mai puține urme pe disc. Modul exact în care a fost abuzat programul nu este încă confirmat.

Setul de instrumente este modular. Cuprinde TechHub, TouchHub, TouchShift, ClientHub, LPEClient și Cubridge:

• TechHub livrează componentele ulterioare.
• Cubridge are rol de operator central și încarcă module și pluginuri la cerere, în loc de un singur backdoor mare.
• Alte componente asigură persistența, profilarea sistemului, căutarea fișierelor și furtul datelor din browser (parole salvate, cookie-uri, marcaje și istoric).
• Comunicarea cu serverele de comandă și control (C2) a trecut prin platforme legitime precum GitHub și Dropbox, dar și prin site-uri compromise.

Elementul post-cuantic

Noutatea principală apare în LPEClient, un instrument Lazarus folosit de mult timp pentru profilare și descărcarea altor componente:

1. Descarcă de pe serverul C2 patru blocuri de chei publice ML-KEM-1024.
2. Le folosește pentru a stabili chei partajate și trimite înapoi textele cifrate corespunzătoare prin ClientHub.
3. Cheile obținute, împreună cu Threefish, decriptează următoarea încărcătură. Aceasta este încărcată direct în memorie, după pași menționați să perturbe monitorizarea de securitate.

Asta nu înseamnă că atacatorii au un calculator cuantic. ML-KEM este proiectat să reziste atacurilor cuantice viitoare. Aici le oferă doar operatorilor o metodă modernă și robustă de a-și proteja încărcăturile în tranzit, ceea ce îngreunează inspecția rețelei și recuperarea lor de către apărători. Problema nu este criptografia în sine. Problema este combinarea ei cu livrarea discretă, software-ul de încredere și execuția doar în memorie.

Kaspersky estimează, cu încredere medie spre ridicată, că FlashHole este legată de campania anterioară Operațiunea SyncHole, pe baza asemănărilor de țintire și de malware.

De ce contează

• Detecția pe bază de semnături nu mai ajunge. Încărcăturile criptate în tranzit și decriptate doar în memorie lasă puține fișiere de analizat.
• Software-ul de încredere servește drept camuflaj. Codul malițios care rulează sub un proces legitim de securitate financiară se pierde în activitatea normală.
• Serviciile cloud legitime ascund C2-ul. Traficul către GitHub sau Dropbox rareori declanșează alerte implicit.
• Risc de tip lanț de aprovizionare. Lazarus a mai abuzat de software de securitate sud-coreean și de ecosistemele furnizorilor, iar impactul poate depăși cu mult prima victimă.

Ce trebuie făcut

• Inventariați și actualizați pluginurile de securitate, precum CrossWeb EX și alte programe similare pentru acces bancar sau guvernamental. Eliminați-le acolo unde nu sunt necesare și țineți-le pe celelalte la zi.
• Căutați comportamente neobișnuite ale proceselor. Urmăriți procese-copil neașteptate, DLL side-loading (de exemplu, copii suspecte de mscoree.dll în subfoldere din C:\ProgramData\) și activitate în memorie pornită din aplicații de încredere.
• Stabiliți o linie de bază pentru serviciile cloud. Semnalați traficul către GitHub, Dropbox sau alte API-uri cloud de pe stații care nu au motiv să le folosească și corelați-l cu alertele de pe endpoint.
• Întăriți protecția împotriva phishingului țintit. Atenție mai ales la capcanele pe teme de recrutare (CV-uri, portofolii) și la linkurile către site-uri create recent.
• Bazați-vă pe EDR comportamental și pe scanarea memoriei, nu doar pe hash-uri de fișiere.
• Importați IoC-urile publicate (hash-uri, URL-uri C2, căi de fișiere și domenii precum javadevhouse[.]co[.]kr și pythonapischool[.]com) în SIEM sau în platforma de threat intelligence și păstrați-le dezactivate (defanged) în afara acestor instrumente.

Astfel de campanii reușesc când pe stații rămâne software vechi sau uitat, pe care nu-l urmărește nimeni. Serviciul de scanare de vulnerabilități al echipei noastre ajută la identificarea componentelor terțe expuse sau neactualizate din infrastructura dumneavoastră, ca un plugin de încredere să nu devină ușa de intrare a atacatorilor.

Surse: cercetarea originală aparține Kaspersky Securelist; știrea a fost relatată de Cyber Security News. Acest articol este rezumatul și analiza proprie 4Tify.