Lazarus Hacker Grubu Kötü Amaçlı Yazılım Teslimatı İçin Kuantum Sonrası Kriptografiyi Kullanıyor

Instagram login page on a computer screen — Zulfugar Karimov / Unsplash

Kuzey Koreli hackerlar, eski ve yeni kötü amaçlı yazılımları birleştiren yeni operasyonlarında, kötü amaçlı yüklerin teslimatını güvence altına almak için kuantum sonrası kriptografik bir mekanizma kullanıyor.

Kaspersky siber güvenlik şirketi araştırmacıları tarafından FlashHole olarak adlandırılan ve Lazarus Group ile ilişkilendirilen bu kampanya, Güney Koreli kuruluşları oldukça karmaşık bir enfeksiyon zinciri aracılığıyla hedefliyor. Analizler, tehdit aktörünün kötü amaçlı yazılım teslimatı için komuta ve kontrol sunucusuyla iletişim kurarken standartlaştırılmış ML-KEM kuantum sonrası kriptografik mekanizmasını kullandığını ortaya koydu.

Saldırganlar, komuta ve kontrol altyapısından ML-KEM-1024 genel anahtarlarını almak ve ardından gelen yükleri çözmeye olanak tanıyan paylaşılan anahtarlar oluşturmak için daha önce Lazarus ile ilişkilendirilmiş LPEClient kötü amaçlı yazılımını kullandılar. Temmuz 2025'te başlayan saldırılar, hedefleri özel olarak hazırlanmış GitHub sayfalarına yönlendiren kimlik avı sayfalarına dayanıyordu.

Bu sayfalar, harici alan adlarından JavaScript kodu yüklüyor ve Güney Kore'de popüler bir güvenlik aracı olan INISAFE CrossWeb EX'i içeren bellek içi bir yürütme zincirini tetikliyor. Güvenlik aracının işlemi, özel GitHub depolarından ek kötü amaçlı yazılımları getirmekten sorumlu olan TechHub indiricisini kuran kabuk kodunu çalıştırmak için meşru Windows ikili dosyası fsquirt.exe'yi çalıştırdı.

Kaspersky, yazılım, inşaat ve kablolu iletişim ekipmanları imalatı sektörlerinde Güney Kore'de en az üç şirket tespit etti, ancak daha fazla kuruluşun etkilenmiş olduğundan şüpheleniyor. Saldırılarda görülen bir diğer yeni araç, Dropbox iletişimlerinin yanı sıra LPEClient ile doğrudan veri alışverişini destekleyen bir yükleyici olan ClientHub'dır. LPEClient, kurbanların profilini çıkarıyor, ClientHub aracılığıyla şifreli yükler alıyor ve güvenlik izlemesini atlatıyor.

Saldırılarda gözlemlenen bir diğer yazılım ise dosya yönetimi, komut yürütme, keşif yetenekleri sağlayan, ayrıca ekran görüntüsü yakalamayı ve enfekte sistemlere ek yükler yüklemeyi destekleyen modüler bir arka kapı olan Cubridge'dir. Ayrıca, hesap kimlik bilgileri, çerezler ve tarama geçmişi için Chromium tabanlı tarayıcıları hedefleyen ek araçlar da görüldü.

Lazarus'un kodlarının çoğu bellekte çalışsa da, kalıcılık mekanizmaları kurbanın diskinde bazı dosyalar bırakıyor. ML-KEM mekanizmasının kullanımı, verileri saldırıların şifre çözme girişimlerinden korumak için kullanılan NIST onaylı bir standart olması nedeniyle dikkat çekiyor. Teknik analiz, LPEClient'ın komuta ve kontrol sunucusundan her biri bir ML-KEM-1024 genel anahtarı içeren dört adet 1.568 baytlık bloktan oluşan bir bayt dizisi aldığını gösterdi.

LPEClient, bu bloklardan dört farklı paylaşılan anahtar çifti ve şifreli metin oluşturuyor, şifreli metinleri GOST algoritmasıyla şifreliyor ve bunları ClientHub aracılığıyla sunucuya iletiyor. Paylaşılan sırlar, yürütülebilir bir yük içeren yanıtı çözen Threefish şifreleme algoritması için anahtar malzemesi sağlıyor. Son yük olan Cubridge, LPEClient tarafından ana bilgisayarın belleğine yansıtmalı olarak yükleniyor. Kaspersky, Lazarus'un tespit riskini minimuma indirmek için bu yöntemi bellek içi yürütme zinciriyle birlikte kullandığına inanıyor. Araştırmacılar, FlashHole operasyonunu daha geniş Cascade Hole faaliyetleri içine yerleştiriyor ve orta ile yüksek güvenle önceki Operation SyncHole ile ilişkilendiriyor.