Безопасность · 24 октября 2026 г.
Также опубликовано на 日本語, Nederlands, 中文, Italiano, Polski, Türkçe, Español, Français, Norsk, עברית
Хакеры Lazarus используют постквантовую криптографию для доставки вредоносного ПО
Группа Lazarus использует механизм постквантовой криптографии для защиты доставки вредоносных полезных нагрузок в новых операциях, которые сочетают старое и новое вредоносное программное обеспечение.
Кампания под названием FlashHole нацелена на организации в Южной Корее через сложную цепочку заражения. Исследователи из компании Kaspersky установили, что злоумышленники применяли стандартизированный постквантовый криптографический механизм ML-KEM для связи с командным сервером при доставке вредоносного ПО.
Атаки начались в июле 2025 года и основывались на фишинговых страницах, которые перенаправляли цели на специально созданные страницы GitHub. Эти страницы загружали код JavaScript с внешних доменов, что запускало цепочку выполнения в памяти с использованием инструмента безопасности INISAFE CrossWeb EX. Процесс этого инструмента запускал легитимный двоичный файл Windows fsquirt.exe, который использовался для выполнения шелл-кода, устанавливающего загрузчик TechHub для получения дополнительного вредоносного ПО из частных репозиториев GitHub.
В ходе атак было задействовано вредоносное ПО LPEClient, которое получало открытые ключи ML-KEM-1024 от инфраструктуры командного сервера и создавало общие ключи для расшифровки последующих полезных нагрузок. LPEClient профилирует жертв, получает зашифрованные данные через загрузчик ClientHub и обходит мониторинг безопасности. ClientHub поддерживает связь через Dropbox и прямой обмен данными с LPEClient.
Конечной полезной нагрузкой является Cubridge, модульный бэкдор, который LPEClient загружает в память хоста. Cubridge обеспечивает управление файлами, выполнение команд, разведку, захват скриншотов и загрузку дополнительных модулей. Также были обнаружены инструменты для кражи учетных данных, файлов cookie и истории посещений из браузеров на базе Chromium.
Технический анализ показал, что LPEClient получает от сервера массив байтов из четырех блоков по 1,568 байт, каждый из которых содержит открытый ключ ML-KEM-1024. Затем создаются пары общих ключей и шифротекстов, которые шифруются алгоритмом ГОСТ и передаются на сервер через ClientHub. Общие секреты служат материалом для алгоритма Threefish, который расшифровывает ответ с исполняемой нагрузкой.
Kaspersky выявила как минимум три пострадавшие компании в секторах программного обеспечения, строительства и производства оборудования проводной связи, но предполагает, что затронуто больше организаций. Использование стандарта ML-KEM, одобренного NIST, призвано защитить данные от атак типа «взломай сейчас, расшифруй позже» и минимизировать риск обнаружения.