Kaspersky, Kuzey Koreli Lazarus adlı hacker grubunun Güney Kore'deki kuruluşları hedef alan bir kampanyada kullandığı zararlı yazılım dağıtım aracına kuantum sonrası şifreleme eklediğini söylüyor.
Kaspersky'nin Küresel Araştırma ve Analiz Ekibi (GReAT), Operation FlashHole analizinde LPEClient'ın güncellenmiş bir sürümünün ek zararlı yazılımları indirdiği kanalı korumak için ML-KEM-1024 kullandığını belirtiyor. Kampanya en az Temmuz 2025'ten beri etkin ve yazılım, inşaat ve kablolu iletişim ekipmanı üretimi sektörlerinde en az üç kuruluşu hedef aldı.
Kaspersky, saldırganların komuta ve kontrol için GitHub Pages sitelerini kullandığını söylüyor. Araştırmacılar, orta-yüksek güven düzeyiyle hedeflere bu sitelere yönlendiren oltalama e-postaları gönderildiğini değerlendiriyor, ancak bulaşmayı tam olarak neyin başlattığını belirleyemedi. Saldırı zincirinde Güney Kore'de kullanılan finansal güvenlik yazılımı INISAFE CrossWeb EX yer aldı. Yazılımın nasıl kötüye kullanıldığı belirsizliğini koruyor.
Güncellenen LPEClient ayrıca trafiği ClientHub adlı yeni keşfedilen bir yükleyici üzerinden yönlendiriyor, güvenlik ürünlerini ve Windows yama düzeylerini kontrol ediyor, raporunu GOST ile şifreliyor. Dört ML-KEM-1024 ortak sırrını, bellekteki başka bir yükü çözmek için Threefish tarafından kullanılan 128 baytlık bir anahtarda birleştiriyor. Kaspersky, şifrelemenin aktarım sırasındaki verileri koruduğunu, bulaşmış bir sistemde çalışan zararlı yazılımı gizlemediğini belirtiyor.
Kaspersky, kampanyadaki özgeçmiş fotoğrafının ve web sitesinin yapay zekâyla oluşturulmuş olabileceğine inanıyor. Araştırmacılar, Lazarus'un kuantum sonrası şifreleme kullanımının en az Eylül 2024'e uzanıyor olabileceğini söylüyor.
Yorumlar
0Henüz yorum yok. İlk yorumu siz yazın.