Hackers do Lazarus utilizam criptografia pós-quântica para entrega de malware

As análises revelaram que o ator de ameaças utilizou o mecanismo de criptografia pós-quântica padronizado ML-KEM para se comunicar com o servidor de comando e controle para a entrega de malware. O malware LPEClient, anteriormente associado ao Lazarus, foi usado para receber chaves públicas ML-KEM-1024 da infraestrutura de comando e controle e gerar chaves compartilhadas para descriptografar cargas recebidas posteriormente.

Os ataques começaram em julho de 2025 e utilizaram páginas de phishing que direcionavam os alvos para páginas do GitHub especialmente criadas. Essas páginas carregam código JavaScript de domínios externos, iniciando uma cadeia de execução na memória que envolveu o INISAFE CrossWeb EX, uma ferramenta de segurança popular na Coreia do Sul. O processo da ferramenta executou o binário legítimo do Windows fsquirt.exe para rodar um shellcode que instalou o TechHub, um baixador responsável por recuperar malwares adicionais de repositórios privados do GitHub.

A Kaspersky identificou ao menos três empresas na Coreia do Sul, nos setores de software, construção e fabricação de equipamentos de comunicação com fio, embora suspeite que mais organizações tenham sido afetadas. Outras ferramentas identificadas incluem o ClientHub, um carregador que suporta comunicações via Dropbox e troca de dados com o LPEClient, e o Cubridge, um backdoor modular com capacidades de reconhecimento, execução de comandos, gerenciamento de arquivos e captura de tela.

Além disso, foram vistas ferramentas que visam navegadores baseados em Chromium para obter cookies, histórico de navegação e credenciais de conta. A maior parte do código do Lazarus é executada na memória, embora mecanismos de persistência deixem alguns arquivos no disco da vítima. O uso do padrão ML-KEM, aprovado pelo NIST, visa proteger dados contra ataques de descriptografia posterior.

Tecnicamente, o LPEClient obteve do servidor de comando e controle uma matriz de bytes composta por quatro blocos de 1.568 bytes, cada um contendo uma chave pública ML-KEM-1024. O LPEClient gera pares de chaves compartilhadas e textos cifrados, criptografa os textos cifrados com o algoritmo GOST e os transmite ao servidor via ClientHub. Os segredos compartilhados fornecem o material de chave para o Threefish, outro algoritmo de criptografia que descriptografa a resposta contendo a carga executável final, o Cubridge, que é carregado reflexivamente na memória do hospedeiro.