---
title: Lazarus-gruppen bruker postkvantekryptografi for å levere skadelig programvare
url: https://www.dataloco.com/no/lazarus-gruppen-bruker-postkvantekryptografi-for-a-levere-skadelig-programvare
published: 2026-10-24T12:24:43+00:00
language: no
section: Sikkerhet
source: https://www.bleepingcomputer.com/news/security/lazarus-hackers-use-post-quantum-cryptography-for-malware-delivery/
organizations: Lazarus Group, Kaspersky, GitHub, Dropbox, INISAFE, Microsoft
publisher: Dataloco
---

# Lazarus-gruppen bruker postkvantekryptografi for å levere skadelig programvare

Den nordkoreanske hackergruppen Lazarus har tatt i bruk en kryptografisk mekanisme basert på postkvanteteknologi for å sikre overføring av skadelig programvare i nye operasjoner. Denne kampanjen, som av sikkerhetsforskere er døpt FlashHole, retter seg mot organisasjoner i Sør-Korea og kombinerer eldre skadelig kode med helt nye verktøy for å unngå deteksjon.

Angrepene startet i juli 2025 og benytter en kompleks infeksjonskjede som innledes med phishing-sider. Disse sidene omdirigerer ofre til spesiallagde sider på plattformen GitHub, hvor JavaScript-kode lastes fra eksterne domener. Koden utløser en utførelsesprosess i minnet som involverer sikkerhetsverktøyet INISAFE CrossWeb EX, et program som er utbredt i Sør-Korea. Denne prosessen utnytter den legitime Windows-filen fsquirt.exe til å kjøre shellkode, som deretter installerer nedlastingsprogrammet TechHub. TechHub henter ytterligere skadelig programvare fra private arkiver på GitHub.

Et sentralt trekk ved operasjonen er bruken av den standardiserte postkvante-krypteringsmekanismen ML-KEM for kommunikasjon med kommando- og kontrollservere. Skadelig programvare kalt LPEClient, som tidligere er knyttet til Lazarus-gruppen, mottar offentlige nøkler fra infrastrukturen til angriperne. Programmet genererer deretter delte nøkler som gjør det mulig å dekryptere innkommende data. Teknisk analyse viser at LPEClient mottar en byte-array bestående av fire blokker på 1 568 byte, hvor hver blokk inneholder en offentlig ML-KEM-1024-nøkkel. Deretter genereres fire distinkte par av delte nøkler og chiffertekst, som krypteres med GOST-algoritmen før de sendes tilbake til serveren via et annet verktøy kalt ClientHub.

De delte hemmelighetene brukes som nøkkelmateriale for krypteringsalgoritmen Threefish, som dekrypterer svaret som inneholder parametere og en kjørbet nyttelast. Den endelige nyttelasten er den modulære bakdøren Cubridge, som LPEClient laster reflekterende direkte inn i minnet på vertsmaskinen. Cubridge tilbyr funksjoner for filhåndtering, kommandoutførelse og rekognosering, samt mulighet for å ta skjermbilder og laste ned ytterligere skadelig kode. Forskere påpeker at bruken av postkvantekryptografi viser at gruppen har til hensikt å skjule påfølgende nyttelaster for å beskytte data mot fremtidige dekrypteringsforsøk.

I tillegg til hovedverktøyene er det observert ClientHub, en laster som støtter kommunikasjon via Dropbox samt direkte datautveksling med LPEClient. LPEClient profilerer ofrene, mottar krypterte nyttelaster gjennom ClientHub og unngår sikkerhetsovervåking. Angriperne har også tatt i bruk ekstra verktøy rettet mot nettlesere basert på Chromium for å stjele kontopåloggingsdetaljer, informasjonskapsler og nettleserhistorikk. Selv om mesteparten av koden kjøres i minnet for å minimere risikoen for oppdagelse, etterlater vedvarende mekanismer noen filer på disken til offeret.

Sikkerhetsselskapet Kaspersky har identifisert minst tre berørte selskaper i Sør-Korea innen sektorene programvare, bygg og anlegg, samt produksjon av kablet kommunikasjonsutstyr. Det mistenkes imidlertid at mange flere organisasjoner er rammet. Forskerne plasserer FlashHole innenfor den bredere aktiviteten Cascade Hole og kobler den til den tidligere operasjonen SyncHole med middels til høy tillit. Denne utviklingen markerer en betydelig endring i taktikk, der avansert kryptografi brukes aktivt for å sikre leveransen av skadelig programvare i pågående angrep.

## This story in other languages

- [日本語](https://www.dataloco.com/ja/story-53)
- [Nederlands](https://www.dataloco.com/nl/lazarus-groep-gebruikt-post-quantum-cryptografie-voor-malwarelevering)
- [中文](https://www.dataloco.com/zh/story-68)
- [Italiano](https://www.dataloco.com/it/i-ricercatori-di-kaspersky-scoprono-che-i-hacker-nordcoreani-utilizzano-la-crittografia-post-quantistica-per-la-distribuzione-di-malware)
- [Polski](https://www.dataloco.com/pl/hakerzy-z-lazarusa-uzywaja-kryptografii-post-quantowej-do-dostarczania-zlosliwego-ladunku)
- [Türkçe](https://www.dataloco.com/tr/lazarus-hacker-grubu-kotu-amacli-yazilim-teslimati-icin-kuantum-sonrasi-kriptografiyi-kullaniyor)
- [Español](https://www.dataloco.com/es/hackers-norcoreanos-emplean-criptografia-poscuantica-para-entregar-malware)
- [Русский](https://www.dataloco.com/ru/xakery-lazarus-ispolzuiut-postkvantovuiu-kriptografiiu-dlia-dostavki-vredonosnogo-po)
- [Français](https://www.dataloco.com/fr/les-hackers-nord-coreens-utilisent-la-cryptographie-post-quantique-pour-livrer-des-charges-malveillantes)
- [עברית](https://www.dataloco.com/he/lazarus)
- [Deutsch](https://www.dataloco.com/de/lazarus-gruppe-nutzt-post-quanten-kryptografie-fur-die-auslieferung-von-schadsoftware)
- [Português (Brasil)](https://www.dataloco.com/pt-br/hackers-do-lazarus-utilizam-criptografia-pos-quantica-para-entrega-de-malware)
- [Svenska](https://www.dataloco.com/sv/lazarus-anvander-postkvantkryptografi-for-att-leverera-skadlig-kod)
- [العربية](https://www.dataloco.com/ar/mgmoaa-lazarus-tstkhdm-altshfyr-ma-baad-alkmy-ltslym-albrmgyat-alkhbyth)