Lazarus skyddar spridningen av skadlig kod med ML-KEM-1024

Kaspersky säger att den nordkoreanska hackergruppen Lazarus har lagt till postkvantkryptering i ett verktyg för spridning av skadlig kod som användes i en kampanj mot organisationer i Sydkorea.

I sin analys av Operation FlashHole uppger Kasperskys Global Research and Analysis Team (GReAT) att en uppdaterad version av LPEClient använder ML-KEM-1024 för att skydda kanalen som hämtar ytterligare skadlig kod. Kampanjen har varit aktiv sedan åtminstone juli 2025 och riktade sig mot minst tre organisationer inom programvara, byggbranschen och tillverkning av utrustning för trådbunden kommunikation.

Kaspersky säger att angriparna använde GitHub Pages-webbplatser för kommando och kontroll. Forskarna bedömer med medelhög till hög säkerhet att nätfiskemejl ledde mål till webbplatserna, men kunde inte fastställa exakt vad som utlöste infektionen. Angreppskedjan omfattade INISAFE CrossWeb EX, sydkoreansk säkerhetsprogramvara för finansiella tjänster. Det är fortfarande oklart hur programvaran missbrukades.

Den uppdaterade LPEClient skickar också trafik via den nyupptäckta laddaren ClientHub, kontrollerar säkerhetsprodukter och Windows korrigeringsnivå samt krypterar sin rapport med GOST. Fyra ML-KEM-1024-delade hemligheter kombineras till en nyckel på 128 byte, som Threefish använder för att dekryptera ytterligare en nyttolast i minnet. Kaspersky säger att krypteringen skyddar data under överföring, men inte döljer skadlig kod som körs på ett infekterat system.

Kaspersky tror att kampanjens meritförteckningsfoto och webbplats kan ha skapats med AI. Forskarna säger att Lazarus användning av postkvantkryptering kan ha börjat åtminstone i september 2024.