Hakerzy z Lazarusa używają kryptografii post-quantowej do dostarczania złośliwego ładunku

Hakerzy z Lazarusa używają zestandaryzowanego mechanizmu kryptografii post-quantowej ML-KEM-1024 do zabezpieczania dostarczania złośliwego ładunku w nowych operacjach, które łączą stare i nowe narzędzia. Kampania atakuje organizacje z Korei Południowej za pośrednictwem złożonej łańcucha zakażeń, który rozpoczął się w lipcu 2025 roku. Złośliwe strony phishingowe skierowują ofiary do spreparowanych podstron GitHub, które ładowały kod JavaScript z zewnętrznych domen i uruchamiały łańcuch wykonania w pamięci za pomocą narzędzia INISAFE CrossWeb EX, popularnego w Korei Południowej. Narzędzie to uruchomiło legalny plik binarny Windows fsquirt.exe, który wykonał kod shellcode instalujący TechHub, downloader pobierający dodatkowe złośliwe oprogramowanie z prywatnych repozytoriów GitHub.

W atakach pojawiły się nowe narzędzia, takie jak ClientHub, który obsługuje komunikację z Dropbox oraz wymianę danych z LPEClient, oraz Cubridge, modułowy backdoor umożliwiający zarządzanie plikami, wykonanie poleceń i przechwytywanie zrzutów ekranu. Kaspersky zidentyfikowała co najmniej trzy firmy w sektorach oprogramowania, budownictwa i produkcji sprzętu komunikacyjnego, choć podejrzewa, że wiele więcej organizacji zostało dotkniętych. Badacze podkreślają, że użycie kryptografii post-quantowej w operacji FlashHole jest wyjątkowe, ponieważ jest to standard zatwierdzony przez NIST i chroni dane przed atakami typu „hack now decrypt later”. Analiza techniczna wykazała, że LPEClient odbiera od serwera C2 cztery bloki po 1568 bajtów zawierające publiczne klucze ML-KEM-1024, z których generuje pary kluczy i szyfrogramów, szyfruje je algorytmem GOST i przekazuje przez ClientHub.