Noord-Koreaanse Lazarus-groep zet post-quantum cryptografie in om malware via complexe infectieketen te verspreiden, gericht op Zuid-Koreaanse organisaties.
De Noord-Koreaanse Lazarus-groep gebruikt een post-quantum cryptografisch mechanisme om de levering van malware te beveiligen in nieuwe aanvallen die oude en nieuwe malware combineren. Deze campagne richt zich op Zuid-Koreaanse organisaties via een complexe infectieketen, aldus onderzoekers van cybersecuritybedrijf Kaspersky, die de operatie FlashHole hebben genoemd en toeschrijven aan Lazarus.
Analyse van de malware toont aan dat de dreigingsactor het gestandaardiseerde ML-KEM post-quantum cryptografische mechanisme inzet om te communiceren met de command-and-control (C2) server voor de levering van malware. De aanvallers gebruikten het LPEClient-malware, eerder gelinkt aan Lazarus, om ML-KEM-1024 publieke sleutels van de C2-infrastructuur te ontvangen en gedeelde sleutels te genereren waarmee binnenkomende payloads konden worden ontsleuteld. De aanvallen begonnen in juli 2025 en maken gebruik van phishingpagina's die slachtoffers doorverwijzen naar speciaal opgezette GitHub-pagina's.
Deze pagina's laden JavaScript-code van externe domeinen, wat een in-memory executieketen activeert waarbij INISAFE CrossWeb EX, een beveiligingstool populair in Zuid-Korea, wordt misbruikt. Het proces van deze tool start het legitieme Windows-binaire fsquirt.exe, dat shellcode uitvoert om TechHub te installeren, een downloader die extra malware ophaalt uit private GitHub-repositories.
Kaspersky identificeerde ten minste drie Zuid-Koreaanse bedrijven in de software-, bouw- en productie van bekabelde communicatieapparatuur als doelwit, maar vermoedt dat veel meer organisaties getroffen zijn. Een nieuw hulpmiddel in deze aanvallen is ClientHub, een loader die communicatie via Dropbox en directe data-uitwisseling met LPEClient ondersteunt. LPEClient profileert slachtoffers, ontvangt versleutelde payloads via ClientHub en ontwijkt beveiligingsmonitoring.
Daarnaast werd Cubridge waargenomen, een modulaire backdoor die bestandsbeheer, commando-uitvoering en verkenning mogelijk maakt, evenals het maken van screenshots en het laden van extra payloads. Ook zijn tools ingezet die gericht zijn op Chromium-gebaseerde browsers om accountgegevens, cookies en browsegeschiedenis te stelen. Het merendeel van Lazarus’ code draait in het geheugen, hoewel enkele persistentiemechanismen bestanden op de schijf achterlaten.
Het gebruik van ML-KEM, een door NIST goedgekeurde post-quantum cryptografiestandaard, valt op omdat het bescherming biedt tegen aanvallen waarbij data nu wordt onderschept en later wordt ontsleuteld. Technische analyse toont dat LPEClient van de C2-server een byte-array ontvangt met vier blokken van 1.568 bytes, elk met een ML-KEM-1024 publieke sleutel. Vervolgens genereert LPEClient vier paren gedeelde sleutels en ciphertexts, versleutelt deze met het GOST-algoritme en stuurt ze via ClientHub terug naar de C2-server. De gedeelde geheimen leveren sleutelmateriaal voor het Threefish-algoritme, dat de respons ontsleutelt met parameters en een uitvoerbare payload. De uiteindelijke payload is Cubridge, die LPEClient reflectief in het geheugen laadt.
Kaspersky concludeert dat Lazarus deze methode en de in-memory executieketen gebruikt om het detectierisico te minimaliseren. Het gebruik van post-quantum cryptografie wijst erop dat de groep erop gericht is latere payloads te verbergen. Onderzoekers plaatsen FlashHole binnen de bredere Cascade Hole-activiteiten en koppelen het met middelhoge tot hoge zekerheid aan de eerdere Operation SyncHole. Kaspersky identificeerde de aanvalsketen en gebruikte technieken nauwkeurig.
