Севернокорейската хакерска група Lazarus прилага стандартизирания постквантов механизъм ML-KEM-1024 за защита на комуникацията с командната си инфраструктура. Операцията FlashHole комбинира фишинг, изпълнение на код в паметта и няколко поколения зловреден софтуер в атаки срещу организации в Южна Корея.

Изследователи на Kaspersky са установили нова операция, наречена FlashHole, при която групата Lazarus използва постквантова криптография за прикриване на доставянето на допълнителни зловредни компоненти. Кампанията е насочена срещу южнокорейски организации, а анализът свързва използваните инструменти с по-широка поредица от операции на севернокорейския кибероператор.

Особеното в случая е съчетанието между познати техники за първоначално проникване и съвременен криптографски механизъм, предназначен да осигурява устойчивост срещу бъдещи атаки с квантови компютри.

Фишинг и многоетапно заразяване

Според Kaspersky атаките са започнали през юли 2025 г. и са използвали фишинг страници, които пренасочват жертвите към специално подготвени страници в GitHub. Оттам JavaScript код, зареждан от външни домейни, задейства сложна верига за изпълнение на зловреден код в оперативната памет.

В процеса е използван INISAFE CrossWeb EX – инструмент за сигурност, разпространен в Южна Корея. Чрез процеса на легитимния Windows файл fsquirt.exe нападателите изпълняват shellcode, който инсталира TechHub – програма за изтегляне на допълнителни компоненти от частни GitHub хранилища.

Kaspersky е идентифицирала най-малко три засегнати компании в Южна Корея, работещи в секторите на софтуера, строителството и производството на оборудване за кабелни комуникации. Изследователите допускат, че броят на засегнатите организации може да е по-голям.

LPEClient и Cubridge: инструменти за контрол над системите

Централна роля в операцията играе LPEClient – зловреден инструмент, свързван и с предишни операции на Lazarus. Той профилира жертвите, получава криптирани полезни товари и подпомага избягването на механизмите за наблюдение и откриване.

В кампанията е установен и ClientHub – зареждащ компонент, който може да комуникира чрез Dropbox, както и да обменя данни директно с LPEClient.

Крайният полезен товар включва Cubridge – модулна задна врата, предоставяща възможности за:

• управление на файлове;
• изпълнение на команди;
• разузнаване на компрометираната система;
• заснемане на екрана;
• зареждане на допълнителни зловредни компоненти.

Изследователите са открили и инструменти, насочени към браузъри, базирани на Chromium, за извличане на идентификационни данни, бисквитки и история на сърфирането.

Според анализа голяма част от кода на Lazarus се изпълнява директно в паметта, което затруднява откриването му чрез традиционни методи, основани на файлови сигнатури. Въпреки това използваните механизми за запазване на присъствието могат да оставят файлове върху диска на жертвата.

ML-KEM-1024 защитава доставянето на полезните товари

Най-същественият технически елемент на FlashHole е използването на ML-KEM-1024 – стандартизиран механизъм за капсулиране на ключове, одобрен от Националния институт за стандарти и технологии на САЩ (NIST).

ML-KEM е разработен за установяване на споделени криптографски тайни и е предназначен да осигурява защита и в сценарии, при които бъдещи квантови компютри биха могли да застрашат някои от широко използваните днес криптографски алгоритми.

В операцията механизмът не се използва за защита на легитимна услуга, а за прикриване на комуникацията между зловредния софтуер и командно-контролната инфраструктура (C2).

Според техническия анализ LPEClient получава от C2 масив от байтове, съдържащ четири блока с размер 1568 байта, всеки от които включва публичен ключ ML-KEM-1024. След това зловредният компонент генерира четири отделни двойки от споделени ключове и криптографски текстове.

Получените данни се криптират с алгоритъма GOST и се изпращат към C2 сървъра чрез ClientHub. Споделените тайни осигуряват ключовия материал за алгоритъма Threefish, който се използва за декриптиране на отговора от сървъра. Той съдържа параметри и изпълним полезен товар, включително Cubridge, който LPEClient зарежда директно в паметта на заразената система.

Kaspersky смята, че тази комбинация от криптографски механизми и изпълнение в паметта е предназначена да намали вероятността от откриване на последващите етапи на атаката.

Важно е да се уточни, че използването на постквантова криптография само по себе си не прави атаката невидима. То затруднява анализа на защитеното съдържание, но не премахва възможността за откриване чрез поведенчески индикатори, наблюдение на процесите и анализ на мрежовите връзки.

Връзка с предишни операции на Lazarus

Kaspersky поставя FlashHole в по-широката активност, обозначена като Cascade Hole, и я свързва с по-ранната операция SyncHole със средна до висока степен на увереност. Това предполага приемственост в инструментариума и методите на групата, но не означава, че всички кампании непременно използват една и съща инфраструктура или идентични цели.

За защитниците случаят е предупреждение, че оценката на риска не може да се основава единствено на познати семейства зловреден софтуер или традиционни криптографски индикатори. Необходими са наблюдение на подозрителни процеси, контрол върху изпълнението на код, ограничаване на достъпа до външни хранилища и анализ на необичайните комуникации от крайни устройства.

Организациите в Южна Корея и други потенциално засегнати сектори трябва да проверят за подозрителни стартирания на fsquirt.exe, необичайна активност на INISAFE CrossWeb EX, връзки към непознати GitHub хранилища и признаци за извличане на браузърни данни.

FlashHole показва как постквантовата криптография може да бъде използвана и в престъпни операции. Самият алгоритъм не е уязвим само защото се използва от нападатели – рискът идва от начина, по който легитимни криптографски технологии се интегрират в зловредна инфраструктура.