Lazarus-groep gebruikt post-quantum cryptografie voor malwarelevering

a couple of people standing in a dark room — Francisco Gonzalez / Unsplash

North Korean hackers gebruiken een post-quantum cryptografisch mechanisme om schadelijke payloads te beveiligen in nieuwe operaties die oude en nieuwe malware combineren. De campagne richt Zuid-Koreaanse organisaties via een "ingewikkelde" infectieketens. Onderzoekers van cybersecurity-bedrijf Kaspersky noemden de operatie FlashHole en attribueren deze aan de Lazarus-groep.

Analyse van de malware toonde aan dat de bedreigingsactor het gestandaardiseerde ML-KEM post-quantum cryptografisch mechanisme gebruikte om te communiceren met de command-and-control (C2) server voor malwarelevering. Kaspersky zegt dat de aanvallers LPEClient malware gebruikten, eerder verbonden met Lazarus, om ML-KEM-1024 publieke sleutels van de C2-infrastructie te ontvangen en gedeelde sleutels te genereren. Hiermee konden ze latere payloads ontsleutelen.

De aanval begon in juli 2025 en maakte gebruik van phishing-pagina's die doelwichten naar speciaal gemaakte GitHub-pagina's leidden. Deze pagina's laadden JavaScript-code van externe domeinen, wat een in-geheugen uitvoering ketens tot stand bracht die INISAFE CrossWeb EX betrof, een beveiligingstool die populair is in Zuid-Korea. Het proces van de beveiligingstool executeerde het legitieme Windows-binaire bestand fsquirt.exe, dat gebruikt werd om shellcode uit te voeren. Hierdoor werd TechHub geïnstalleerd, een downloader die verantwoordelijk is voor het ophalen van aanvullende malware van private GitHub-opslagplaatsen.

Kaspersky identificeerde minimaal drie bedrijven in Zuid-Korea, in de sectoren software, bouw en fabricage van kabelcommunicatie-uitrusting, maar vermoedt dat veel meer organisaties zijn getroffen. Een nieuwe tool die in deze aanvallen is gezien is ClientHub, een loader die Dropbox- communicatie ondersteert en directe datagewisseling met LPEClient mogelijk maakt.

De onderzoekers stellen dat LPEClient slachtoffers profileert, versleutelde payloads ontvangt via ClientHub en beveiligingsmonitorings ontgaat. Een andere malware die in de aanvallen is waargenomen is Cubridge, een modulaire backdoor die bestandsbeheer, commando-uitvoering en reconnoitering mogelijk maakt. Cubridge ondersteunt ook schermafbeeldingen vastleggen en het laden van aanvullende payloads op geïnfecteerde systemen.

Kaspersky heeft ook extra tools gezien die gericht zijn op Chromium-gebaseerde browsers voor toegang tot accountreferenties, cookies en browservoorwerpen. De onderzoekers stellen dat de meeste Lazarus-code in het geheugen draait, hoewel persistentsmechanismen enkele bestanden op de schijf van het slachtaal achterlaten.

Het gebruik van het ML-KEM post-quantum cryptografisch mechanisme valt op in operatie FlashHole, aangezien het een NIST-goedgekeurd standaard is die in meerdere softwareprojecten aanwezig is als manier om data te beschermen tegen "hack now decrypt later" aanvallen. De technische analyse toonde aan dat LPEClient van de C2 "een byte-array van vier 1.568-byte blokken" ontving, elk bevattend een ML-KEM-1024 publieke sleutel.

"LPEClient genereert vervolgens vier aparte paren gedeelde sleutels en ciphertexts uit deze blokken, versleutelt de ciphertexts met de GOST-algoritme, en verzendt ze naar de C2-server via ClientHub", legt Kaspersky uit. De gedeelde geheimen leveren de sleutelmateriaal voor Threefish, een ander versleutelingsalgoritme, dat de respons ontcijfert met parameters en een uitvoerbare payload. De eindpayload is Cubridge, die LPEClient reflectief in het geheugen van de host laadt.

Kaspersky gelooft dat Lazarus deze methode gebruikt samen met een in-geheugen uitvoering ketens om het detectie-risk tot een minimum te verlagen. "Het gebruik van post-quantum cryptografie toont aan dat de groep intentie heeft om latere payloads te verbergen", zegt Kaspersky.

Kaspersky-onderzoekers plaatsen FlashHole binnen de bredere Cascade Hole activiteit en linken het naar de eerdere Operation SyncHole met medium-naar-hoog vertrouwen.

Zodra aanvallers geldige referenties hebben, worden slechts 37% van hun acties geblokkeerd. Algehele preventie-scores kunnen verbergen wat gebeurt na initiële toegang. Zodra aanvallers geldige referenties gebruiken, daalt de preventie scherp.

The Blue Report 2026 meet verdedigingen techniek voor techniek over 338 miljoen simulaties die werden uitgevoerd in klantproductie-omgevingen.