--- title: 朝鲜黑客利用后量子密码学进行恶意软件投递 url: https://www.dataloco.com/zh/story-68 published: 2026-10-24T07:44:22+00:00 language: zh section: 安全 source: https://www.bleepingcomputer.com/news/security/lazarus-hackers-use-post-quantum-cryptography-for-malware-delivery/ organizations: Kaspersky, Lazarus Group, INISAFE CrossWeb EX, TechHub, ClientHub, Cubridge publisher: Dataloco --- # 朝鲜黑客利用后量子密码学进行恶意软件投递 朝鲜黑客组织利用后量子密码学机制保护新型恶意软件投递操作。该活动针对韩国组织，使用了复杂的感染链。Kaspersky 研究人员将此行动命名为 FlashHole，并归因于 Lazarus 组织。 分析显示，威胁行为者使用了标准化的 ML-KEM 后量子密码学机制，与命令和控制服务器通信以进行恶意软件投递。研究人员表示，攻击始于 2025 年 7 月，通过钓鱼页面引导目标访问精心伪造的 GitHub 页面。 这些页面会加载来自外部域名的 JavaScript 代码，触发在内存中执行的链条，涉及在韩国流行的安全工具 INISAFE CrossWeb EX。该安全工具的进程执行了合法的 Windows 二进制文件 fsquirt.exe，该文件被用于运行安装 TechHub 的 shellcode，TechHub 是一个从私有 GitHub 仓库检索附加恶意软件的下载器。 Kaspersky 至少确认了韩国软件、建筑和有线通信设备制造业三家公司受到影响，但怀疑有更多组织受害。 另一种在攻击中出现的新工具是 ClientHub，它是一个支持 Dropbox 通信以及与 LPEClient 直接数据交载的加载器。研究人员指出，LPEClient 会分析受害者，通过 ClientHub 接收加密载荷，并规避安全监控。 还观察到一种名为 Cubridge 的模块化后门，它提供文件管理、命令执行和侦察能力，并支持截图捕获和加载附加载荷到受感染系统。 研究人员注意到，Lazarus 大部分代码在内存中运行，尽管持久性机制会在受害者磁盘上留下一些文件。 使用后量子密码学机制在 FlashHole 行动中脱颖而出，因为它是 NIST 批准的标准，存在于多个软件项目中，旨在防止“先窃后解”的攻击。 技术分析显示，LPEClient 从 C2 获得了由四个 1,568 字节块组成的字节数组，每个块均包含一个 ML-KEM-1024 公钥。 "LPEClient 从这些块生成四组不同的共享密钥和密文，使用 GOST 算法加密密文，并通过 ClientHub 传输至 C2 服务器"，Kaspersky 解释道。 共享密钥提供 Threefish 加密算法的密钥材料，该算法解密包含参数和可执行载荷的响应。 最终载荷是 Cubridge，LPEClient 将其反射加载到主机内存中。 Kaspersky 认为，Lazarus 利用此方法配合内存执行链，将检测风险降至最低。 "使用后量子密码学表明该组织意图隐藏后续载荷"，Kaspersky 表示。 Kaspersky 研究人员将 FlashHole 放在更广泛的 Cascade Hole 活动背景中，并以中等至高置信度将其链接到 earlier Operation SyncHole。 ## This story in other languages - [日本語](https://www.dataloco.com/ja/story-53) - [Nederlands](https://www.dataloco.com/nl/lazarus-groep-gebruikt-post-quantum-cryptografie-voor-malwarelevering) - [Italiano](https://www.dataloco.com/it/i-ricercatori-di-kaspersky-scoprono-che-i-hacker-nordcoreani-utilizzano-la-crittografia-post-quantistica-per-la-distribuzione-di-malware) - [Polski](https://www.dataloco.com/pl/hakerzy-z-lazarusa-uzywaja-kryptografii-post-quantowej-do-dostarczania-zlosliwego-ladunku) - [Türkçe](https://www.dataloco.com/tr/lazarus-hacker-grubu-kotu-amacli-yazilim-teslimati-icin-kuantum-sonrasi-kriptografiyi-kullaniyor)