Les hackers nord-coréens utilisent la cryptographie post-quantique pour livrer des charges malveillantes

L'analyse du malware a révélé que les auteurs ont employé le mécanisme standardisé ML-KEM pour communiquer avec le serveur de commande et contrôle afin de livrer le logiciel malveillant.

Les chercheurs ont déclaré que les attaques ont débuté en juillet 2025 et reposaient sur des pages de hameçonnage qui redirigeaient les cibles vers des pages GitHub spécialement conçues.

Ces pages chargeaient du code JavaScript provenant de domaines externes, déclenchant une chaîne d'exécution en mémoire qui faisait intervenir l'outil de sécurité INISAFE CrossWeb EX, très répandu en Corée du Sud.

Le processus de l'outil de sécurité a exécuté le binaire Windows légitime fsquirt.exe, utilisé pour exécuter du code shell qui installait TechHub, un chargeur responsable de récupérer des logiciels malveillants supplémentaires depuis des dépôts GitHub privés.

Kaspersky a identifié au moins trois sociétés sud-coréennes, dans les secteurs du logiciel, de la construction et de l'équipement de communication filaire, mais suspecte que de nombreuses autres organisations ont été affectées.

Un autre outil nouveau observé dans ces attaques est ClientHub, un chargeur qui prend en charge les communications Dropbox ainsi que l'échange direct de données avec LPEClient.

Les chercheurs notent que LPEClient profile les victimes, reçoit des charges malveillantes chiffrées via ClientHub et évite la surveillance de sécurité.

Un autre logiciel malveillant observé est Cubridge, un backdoor modulaire qui offre la gestion de fichiers, l'exécution de commandes et des capacités de reconnaissance, et qui prend également en charge la capture d'écran et le chargement de charges supplémentaires sur les systèmes infectés.

Kaspersky a également observé des outils supplémentaires visant les navigateurs basés sur Chromium pour voler les informations d'identification des comptes, les cookies et l'historique de navigation.

Les chercheurs précisent que la plupart du code de Lazarus s'exécute en mémoire, bien que les mécanismes de persistance laissent certains fichiers sur le disque de la victime.

L'utilisation du mécanisme cryptographique post-quantique ML-KEM se démarque dans l'opération FlashHole, car il s'agit d'un standard approuvé par le NIST présent dans plusieurs projets logiciels comme protection contre les attaques "hack now decrypt later".

L'analyse technique a montré que LPEClient a obtenu du serveur de commande et contrôle un tableau d'octets composé de quatre blocs de 1 568 octets, chacun contenant une clé publique ML‑KEM‑1024.

"LPEClient génère alors quatre paires distinctes de clés partagées et de ciphertexts à partir de ces blocs, chiffre les ciphertexts avec l'algorithme GOST et les transmet au serveur de commande et contrôle via ClientHub," explique Kaspersky.

Les secrets partagés fournissent le matériel de clé pour l'algorithme de chiffrement Threefish, qui déchiffre la réponse contenant des paramètres et une charge exécutable.

La charge finale est Cubridge, qui est chargée de manière réflexe dans la mémoire de l'hôte.

Kaspersky estime que le groupe utilise cette méthode conjointement avec une chaîne d'exécution en mémoire pour réduire au minimum le risque de détection.

"L'utilisation de la cryptographie post-quantique montre que le groupe a l'intention de dissimuler les charges ultérieures," indique Kaspersky.

Les chercheurs placent FlashHole dans le cadre plus large de l'activité Cascade Hole et la relient à l'opération précédente SyncHole avec une confiance de niveau moyen à élevé.

Une fois que les attaquants disposent de credentials valides, seulement 37 % de leurs actions sont bloquées.

Les scores globaux de prévention peuvent masquer ce qui se produit après l'accès initial. Une fois que les attaquants utilisent des credentials valides, la prévention chute nettement.

Le Blue Report 2026 mesure les défenses technique par technique à travers 338 millions de simulations réalisées dans les environnements de production des clients.