I ricercatori di Kaspersky scoprono che i hacker nordcoreani utilizzano la crittografia post-quantistica per la distribuzione di malware

I ricercatori di Kaspersky hanno identificato un'operazione, denominata FlashHole, in cui i membri del gruppo Lazarus impiegano un meccanismo crittografico post-quantistico per proteggere la distribuzione di payload dannosi. L'attacco, che ha avuto inizio a luglio 2025, ha colpito organizzazioni sudcoreane attraverso una catena di infezione complessa. Gli aggressori hanno utilizzato il meccanismo ML-KEM-1024, standardizzato da NIST, per comunicare con il server di comando e controllo (C2) e decifrare i payload successivi. Il malware LPEClient ha raccolto quattro chiavi pubbliche ML-KEM-1024 da C2, generato coppie di chiavi condivise e cifrature, e le ha trasmesse tramite ClientHub. Queste chiavi hanno alimentato l'algoritmo di cifratura Threefish, che ha decifrato i parametri e il payload eseguibile. Il payload finale, Cubridge, è stato caricato in memoria in modo riflessivo. Kaspersky ha collegato l'operazione FlashHole all'attività più ampia Cascade Hole e l'ha associata all'operazione precedente SyncHole con una certa confidenza. I ricercatori hanno notato che la maggior parte del codice di Lazarus si esegue in memoria, ma i meccanismi di persistenza lasciano alcuni file sul disco del vittima.

L'uso della crittografia post-quantistica dimostra l'intento del gruppo di nascondere i payload successivi. Kaspersky ha osservato anche strumenti aggiuntivi che mirano ai browser basati su Chromium per rubare credenziali, cookie e cronologia di navigazione. La tecnica riduce il rischio di rilevamento al minimo. I ricercatori hanno sottolineato che l'uso della crittografia post-quantistica è un segno distintivo dell'operazione. L'analisi tecnica ha rivelato che LPEClient ha ottenuto un array di byte composto da quattro blocchi di 1.568 byte, ciascuno contenente una chiave pubblica ML-KEM-1024. "LPEClient genera quindi quattro coppie distinte di chiavi condivise e cifrature da questi blocchi, cifra le cifrature con l'algoritmo GOST e le trasmette al server C2 tramite ClientHub," hanno spiegato i ricercatori. Le chiavi condivise forniscono il materiale chiave per Threefish, che decifra la risposta contenente parametri ed un payload eseguibile. Il payload finale è Cubridge, un backdoor modulare che offre funzionalità di gestione dei file, esecuzione di comandi, ricognizione e cattura di screenshot. Kaspersky ha identificato almeno tre società sudcoreane nei settori software, costruzioni e attrezzature per la comunicazione via cavo, ma ritiene che molte altre organizzazioni siano state colpite.