Lazarus använder postkvantkryptografi för att sprida skadlig kod

Forskare vid cybersäkerhetsföretaget Kaspersky uppger att Lazarus Group använde postkvantkryptografi för att skydda spridningen av skadlig kod i en operation riktad mot organisationer i Sydkorea. Kaspersky gav kampanjen namnet FlashHole och beskrev infektionskedjan som ”ganska komplex”.

Enligt forskarna inleddes attackerna i juli 2025 och använde nätfiskesidor som ledde målen till specialbyggda GitHub-sidor. JavaScript som laddades från externa domäner startade en körkedja i minnet som involverade INISAFE CrossWeb EX, ett säkerhetsverktyg som är vanligt i Sydkorea. Processen för verktyget körde den legitima Windows-binärfilen fsquirt.exe för att exekvera skalkod. Den installerade TechHub, en nedladdare som hämtade mer skadlig kod från privata GitHub-arkiv.

Kaspersky identifierade minst tre drabbade sydkoreanska företag inom programvara, byggverksamhet och tillverkning av utrustning för trådbunden kommunikation, och misstänker att fler organisationer drabbades. Forskarna observerade ClientHub, en laddare som stöder Dropbox-kommunikation och direkt datautbyte med LPEClient. LPEClient kartlägger offer, tar emot krypterade nyttolaster via ClientHub och undgår säkerhetsövervakning. Ett annat verktyg, Cubridge, är en modulär bakdörr med funktioner för filhantering, kommandokörning, kartläggning, skärmbildstagning och inläsning av ytterligare nyttolaster.

Kaspersky uppger att LPEClient använde den standardiserade ML-KEM-mekanismen för att ta emot ML-KEM-1024-publika nycklar från kommando- och kontrollinfrastrukturen och skapa delade nycklar för att dekryptera inkommande nyttolaster. Programmet skickade krypterade chiffertexter till servern via ClientHub. De delade hemligheterna gav nyckelmaterial till Threefish, som dekrypterade ett svar med parametrar och en körbar nyttolast. Den slutliga Cubridge-nyttolasten laddades reflektivt in i minnet. Kaspersky kopplar FlashHole till den bredare aktiviteten Cascade Hole och, med medelhög till hög säkerhet, till den tidigare operationen Operation SyncHole.