Lazarus protege la distribución de malware con ML-KEM-1024

Kaspersky afirma que el grupo de hackers norcoreano Lazarus ha añadido cifrado poscuántico a una herramienta de distribución de malware utilizada en una campaña contra organizaciones surcoreanas.

En su análisis de Operation FlashHole, el Global Research and Analysis Team (GReAT) de Kaspersky señala que una versión actualizada de LPEClient utiliza ML-KEM-1024 para proteger el canal por el que descarga más malware. La campaña está activa desde, al menos, julio de 2025 y se dirigió contra al menos tres organizaciones de los sectores del software, la construcción y la fabricación de equipos de comunicaciones por cable.

Kaspersky afirma que los atacantes utilizaron sitios de GitHub Pages para el mando y control. Los investigadores consideran, con un nivel de confianza de medio a alto, que correos de phishing dirigieron a los objetivos a esos sitios, pero no pudieron determinar exactamente qué desencadenó la infección. La cadena de ataque incluyó INISAFE CrossWeb EX, un software surcoreano de seguridad financiera. No está claro cómo se abusó de él.

La versión actualizada de LPEClient también canaliza el tráfico a través de ClientHub, un cargador recién descubierto, comprueba los productos de seguridad y el nivel de parches de Windows, y cifra su informe con GOST. Combina cuatro secretos compartidos de ML-KEM-1024 en una clave de 128 bytes que Threefish utiliza para descifrar otra carga útil en memoria. Kaspersky afirma que el cifrado protege los datos durante la transmisión, pero no oculta el malware que se ejecuta en un sistema infectado.

Kaspersky cree que la foto del currículum y el sitio web de la campaña podrían haberse generado con IA. Los investigadores dicen que el uso de criptografía poscuántica por parte de Lazarus podría remontarse, como mínimo, a septiembre de 2024.