Lazarus usa criptografía poscuántica para distribuir malware

Investigadores de la empresa de ciberseguridad Kaspersky afirman que Lazarus Group utilizó criptografía poscuántica para proteger la distribución de malware en una operación dirigida a organizaciones de Corea del Sur. Kaspersky llamó FlashHole a la campaña y describió su cadena de infección como «bastante compleja».

Según los investigadores, los ataques comenzaron en julio de 2025 y utilizaron páginas de phishing que dirigían a los objetivos a páginas de GitHub preparadas especialmente. El código JavaScript cargado desde dominios externos activó una cadena de ejecución en memoria que involucró a INISAFE CrossWeb EX, una herramienta de seguridad popular en Corea del Sur. El proceso de la herramienta ejecutó el binario legítimo de Windows fsquirt.exe para ejecutar código shell. Este instaló TechHub, un descargador que recuperaba más malware de repositorios privados de GitHub.

Kaspersky identificó al menos tres empresas surcoreanas afectadas, de los sectores del software, la construcción y la fabricación de equipos de comunicación por cable, y sospecha que hubo más organizaciones afectadas. Los investigadores observaron ClientHub, un cargador compatible con las comunicaciones de Dropbox y el intercambio directo de datos con LPEClient. LPEClient perfila a las víctimas, recibe cargas cifradas a través de ClientHub y evade la supervisión de seguridad. Otra herramienta, Cubridge, es una puerta trasera modular con funciones de gestión de archivos, ejecución de comandos, reconocimiento, captura de pantallas y carga de cargas adicionales.

Kaspersky afirma que LPEClient utilizó el mecanismo estandarizado ML-KEM para recibir claves públicas ML-KEM-1024 de la infraestructura de mando y control y generar claves compartidas con las que descifrar las cargas entrantes. Envió textos cifrados al servidor mediante ClientHub; los secretos compartidos proporcionaron material de clave a Threefish para descifrar una respuesta con parámetros y una carga ejecutable. La carga final de Cubridge se cargó de forma reflectiva en la memoria. Kaspersky relaciona FlashHole con la actividad más amplia Cascade Hole y, con una confianza de media a alta, con la operación anterior Operation SyncHole.