Lazarus Gruppe nutzt Post-Quanten-Kryptografie für die Auslieferung von Schadsoftware

Code appears on a computer screen — Rob Wingate / Unsplash

Nordkoreanische Hacker der Lazarus Gruppe setzen einen kryptografischen Mechanismus für die Post-Quanten-Ära ein, um die Auslieferung bösartiger Nutzlasten in neuen Operationen zu sichern. Diese Kampagne, die von Kaspersky als FlashHole bezeichnet wird, kombiniert alte und neue Schadsoftware und richtet sich gegen Organisationen in Südkorea.

Die Angreifer nutzen den standardisierten ML-KEM Post-Quanten-Kryptografie-Mechanismus für die Kommunikation mit dem Befehls- und Steuerungsserver. Die Schadsoftware LPEClient empfängt öffentliche ML-KEM-1024 Schlüssel von der Infrastruktur und generiert gemeinsame Schlüssel, um eingehende Nutzlasten zu entschlüsseln. Die technische Analyse ergab, dass LPEClient ein Byte-Array aus vier Blöcken mit jeweils 1.568 Byte erhielt, wobei jeder Block einen öffentlichen ML-KEM-1024 Schlüssel enthielt. LPEClient generiert daraus vier Paare von gemeinsamen Schlüsseln und Chiffretexten, verschlüsselt diese mit dem GOST-Algorithmus und übermittelt sie über ClientHub an den Server. Die gemeinsamen Geheimnisse liefern das Schlüsselmaterial für Threefish, einen weiteren Verschlüsselungsalgorithmus, der die Antwort mit Parametern und einer ausführbaren Nutzlast entschlüsselt.

Die Angriffe begannen im Juli 2025 und basieren auf Phishing-Seiten, die Opfer auf speziell gestaltete GitHub-Seiten leiten. Diese laden JavaScript-Code von externen Domänen, was eine Ausführungskette im Arbeitsspeicher auslöst. Dabei wird das in Südkorea verbreitete Sicherheitstool INISAFE CrossWeb EX einbezogen. Der Prozess dieses Tools führt die legitime Windows-Datei fsquirt.exe aus, um Shellcode zu starten, der TechHub installiert. TechHub ist ein Downloader, der weitere Schadsoftware aus privaten GitHub-Repositorys abruft.

Kaspersky identifizierte mindestens drei betroffene Unternehmen in den Bereichen Software, Bauwesen und Herstellung von kabelgebundenen Kommunikationsgeräten, vermutet jedoch, dass viele weitere Organisationen betroffen sind. Ein weiteres neues Werkzeug ist ClientHub, ein Loader, der die Kommunikation über Dropbox sowie den direkten Datenaustausch mit LPEClient unterstützt. LPEClient erstellt Profile der Opfer, empfängt verschlüsselte Nutzlasten über ClientHub und weicht Sicherheitsüberwachungen aus.

Die finale Nutzlast ist Cubridge, eine modulare Backdoor, die LPEClient reflektiv in den Arbeitsspeicher lädt. Cubridge bietet Funktionen für die Dateiverwaltung, die Befehlsausführung, Aufklärung sowie das Erstellen von Bildschirmfotos. Zudem wurden Werkzeuge beobachtet, die auf Chromium-basierten Browsern abzielen, um Anmeldedaten, Cookies und den Browserverlauf zu stehlen. Die meisten Codes der Lazarus Gruppe laufen im Arbeitsspeicher, wobei einige Dateien für die Persistenz auf der Festplatte verbleiben. Kaspersky ordnet FlashHole der breiteren Cascade Hole Aktivität zu und verknüpft sie mit mittlerer bis hoher Konfidenz mit der früheren Operation SyncHole.