Seguridad · 24 de octubre de 2026
Hackers norcoreanos emplean criptografía poscuántica para entregar malware
Un grupo de ciberdelincuentes vinculado a Corea del Norte ha iniciado nuevas operaciones ofensivas que utilizan un mecanismo criptográfico poscuántico para asegurar la entrega de cargas maliciosas. Esta campaña, identificada por investigadores de seguridad como FlashHole, combina software malicioso antiguo con herramientas nuevas para atacar a organizaciones en Corea del Sur mediante una cadena de infección descrita como bastante compleja.
El análisis técnico reveló que los actores de la amenaza emplearon el mecanismo criptográfico poscuántico estandarizado ML-KEM para comunicarse con su servidor de mando y control. Este protocolo permite generar claves compartidas que desencriptan las cargas útiles entrantes, protegiendo así la comunicación contra ataques de tipo capturar ahora y desencriptar después. La implementación específica utilizó claves públicas ML-KEM-1024 obtenidas directamente de la infraestructura de mando y control.
La cadena de ataque comenzó en julio de dos mil veinticinco y se basó en páginas de suplantación de identidad que dirigían a los objetivos hacia repositorios especialmente diseñados en GitHub. Estos sitios web cargaban código JavaScript desde dominios externos, lo que desencadenaba una ejecución en memoria que aprovechaba INISAFE CrossWeb EX, una herramienta de seguridad muy popular en la región. Este proceso legítimo ejecutaba a su vez un binario de Windows llamado fsquirt.exe para instalar un descargador adicional.
Entre el software malicioso observado destaca LPEClient, una herramienta previamente asociada a este grupo, que perfila a las víctimas y recibe cargas encriptadas a través de otro componente nuevo llamado ClientHub. Este cargador facilita la comunicación con servicios de almacenamiento en la nube y el intercambio directo de datos. Además, se identificó Cubridge, una puerta trasera modular capaz de gestionar archivos, ejecutar comandos, realizar reconocimiento del sistema y capturar pantallas para cargar más software dañino.
Los investigadores confirmaron que al menos tres empresas en los sectores de software, construcción y fabricación de equipos de comunicación por cable fueron comprometidas, aunque sospechan que muchas más organizaciones podrían estar afectadas. La mayoría del código ejecutado por los atacantes opera exclusivamente en la memoria del sistema para minimizar el riesgo de detección, aunque algunos mecanismos de persistencia dejan archivos en el disco de la víctima. También se observaron herramientas adicionales diseñadas para robar credenciales, cookies e historial de navegación de navegadores basados en Chromium.
El uso de criptografía poscuántica aprobada por estándares internacionales marca una evolución significativa en las tácticas del grupo, quien busca ocultar eficazmente las cargas útiles subsiguientes. Los analistas vinculan esta actividad con operaciones anteriores con una confianza de media a alta, señalando que la capacidad de los atacantes para utilizar credenciales válidas reduce drásticamente las tasas de bloqueo de las defensas de seguridad tradicionales una vez que han obtenido acceso inicial al entorno.
La sofisticación técnica incluye la generación de múltiples pares de claves secretas compartidas y textos cifrados que son transmitidos de vuelta al servidor de mando y control. Estos secretos compartidos suministran el material de clave para algoritmos de encriptación adicionales que finalmente revelan el software malicioso ejecutable. Este método refleja un esfuerzo deliberado por evadir el monitoreo de seguridad mediante el uso de procesos legítimos del sistema operativo y la ejecución reflexiva de código en la memoria RAM.