مجموعة Lazarus تستخدم التشفير ما بعد الكمي لتسليم البرمجيات الخبيثة

Computer screen displaying lines of code — Harshit Katiyar / Unsplash

استخدم قراصنة من كوريا الشمالية آلية تشفير ما بعد الكمي لتأمين تسليم حمولات خبيثة في عمليات جديدة تدمج بين برمجيات خبيثة قديمة وأخرى حديثة.

تستهدف هذه الحملة، التي أطلقت عليها شركة Kaspersky اسم FlashHole ونسبتها إلى مجموعة Lazarus، منظمات في كوريا الجنوبية من خلال سلسلة عدوى وصفت بأنها معقدة للغاية. وقد كشف التحليل أن المهاجمين استخدموا آلية التشفير ما بعد الكمي المعيارية ML-KEM للتواصل مع خادم القيادة والسيطرة من أجل تسليم البرمجيات الخبيثة.

بدأت الهجمات في يوليو 2025 واعتمدت على صفحات تصيد توجه الضحايا إلى صفحات GitHub مصممة خصيصا. تقوم هذه الصفحات بتحميل رمز JavaScript من نطاقات خارجية، مما يؤدي إلى تشغيل سلسلة تنفيذ في الذاكرة تشمل أداة أمنية شائعة في كوريا الجنوبية تسمى INISAFE CrossWeb EX. قامت هذه الأداة بتنفيذ ملف Windows ثنائي شرعي وهو fsquirt.exe، والذي استُخدم لتشغيل رمز برمجي قام بتثبيت TechHub، وهو برنامج تحميل مسؤول عن جلب برمجيات خبيثة إضافية من مستودعات GitHub خاصة.

استخدم المهاجمون برمجية LPEClient المرتبطة سابقا بمجموعة Lazarus لاستلام مفاتيح عامة من نوع ML-KEM-1024 من بنية القيادة والسيطرة وتوليد مفاتيح مشتركة لفك تشفير الحمولات الواردة. وتعمل LPEClient على تحليل ملفات الضحايا واستلام الحمولات المشفرة عبر أداة تحميل جديدة تسمى ClientHub، والتي تدعم اتصالات Dropbox والتبادل المباشر للبيانات مع LPEClient، مع العمل على تجنب مراقبة الأمن.

تضمنت الهجمات أيضا برمجية Cubridge، وهي باب خلفي نمطي يوفر قدرات إدارة الملفات وتنفيذ الأوامر والاستطلاع والتقاط صور للشاشة وتحميل حمولات إضافية. كما رصد الباحثون أدوات إضافية تستهدف المتصفحات القائمة على Chromium لسرقة بيانات الاعتماد وملفات تعريف الارتباط وسجل التصفح. وأشار الباحثون إلى أن معظم رموز Lazarus تعمل في الذاكرة، رغم أن آليات الاستمرارية تترك بعض الملفات على قرص الضحية.

حددت Kaspersky ثلاث شركات على الأقل في كوريا الجنوبية في قطاعات البرمجيات والبناء وتصنيع معدات الاتصالات السلكية، مع الاشتباه في تضرر العديد من المنظمات الأخرى. وتعتبر آلية ML-KEM معيارا معتمدا من NIST لحماية البيانات من هجمات فك التشفير اللاحقة، وتهدف المجموعة من خلالها إلى إخفاء الحمولات التالية وتقليل مخاطر الكشف إلى الحد الأدنى.