Lazarus, Zararlı Yazılım Dağıtımında Kuantum Sonrası Kriptografi Kullanıyor

Siber güvenlik şirketi Kaspersky'deki araştırmacılara göre Lazarus Group, Güney Kore'deki kuruluşları hedef alan bir operasyonda zararlı yazılım dağıtımını korumak için kuantum sonrası kriptografi kullandı. Kaspersky kampanyaya FlashHole adını verdi ve bulaşma zincirini “oldukça karmaşık” olarak tanımladı.

Araştırmacılara göre saldırılar Temmuz 2025'te başladı ve hedefleri özel olarak hazırlanmış GitHub sayfalarına yönlendiren kimlik avı sayfalarını kullandı. Harici alan adlarından yüklenen JavaScript, Güney Kore'de yaygın bir güvenlik aracı olan INISAFE CrossWeb EX'i içeren bir bellek içi çalıştırma zincirini tetikledi. Aracın işlemi, kabuk kodunu çalıştırmak için yasal Windows ikilisi fsquirt.exe'yi yürüttü. Bu kod, özel GitHub depolarından ek zararlı yazılımlar indiren TechHub adlı indiriciyi kurdu.

Kaspersky, Güney Kore'de yazılım, inşaat ve kablolu iletişim ekipmanı imalatı sektörlerinde faaliyet gösteren en az üç şirketin etkilendiğini belirledi ve daha fazla kuruluşun etkilenmiş olabileceğinden şüpheleniyor. Araştırmacılar, Dropbox iletişimini ve LPEClient ile doğrudan veri alışverişini destekleyen ClientHub adlı bir yükleyici de gözlemledi. LPEClient kurbanların profilini çıkarıyor, ClientHub üzerinden şifrelenmiş yükleri alıyor ve güvenlik izlemelerinden kaçınıyor. Gözlemlenen diğer araç Cubridge; dosya yönetimi, komut çalıştırma, keşif, ekran görüntüsü alma ve ek yükleri yükleme özelliklerine sahip modüler bir arka kapı.

Kaspersky, LPEClient'in komuta ve kontrol altyapısından standartlaştırılmış ML-KEM mekanizmasını kullanarak ML-KEM-1024 açık anahtarlarını aldığını ve gelen yükleri çözmek için ortak anahtarlar ürettiğini belirtiyor. LPEClient, şifrelenmiş şifreli metinleri ClientHub üzerinden sunucuya gönderdi; ortak sırlar, parametreler ve çalıştırılabilir bir yük içeren yanıtı çözmek için Threefish'e anahtar malzemesi sağladı. Son Cubridge yükü, yansıtmalı yükleme yöntemiyle belleğe alındı. Kaspersky, FlashHole'u daha geniş Cascade Hole etkinliğiyle ve orta-yüksek güven düzeyiyle daha önceki Operation SyncHole operasyonuyla ilişkilendiriyor.