← Все новости

Безопасность ·

Lazarus начала прятать доставку вредоносов за постквантовой криптографиейLazarus now hides malware delivery behind post-quantum cryptography

Kaspersky описала кампанию FlashHole против южнокорейских компаний: обновлённый LPEClient согласует ключи с C2 по ML-KEM-1024. Квантового компьютера у группировки нет — цель в том, чтобы затруднить анализ трафика и скрыть следующие стадии.Kaspersky detailed the FlashHole campaign against South Korean companies, in which an updated LPEClient negotiates keys with its C2 using ML-KEM-1024. The group has no quantum computer — the goal is to hamper traffic analysis and hide later stages.

Исследователи Kaspersky опубликовали отчёт о кампании FlashHole, которую с уверенностью от средней до высокой связывают с северокорейской Lazarus. Атаки на южнокорейские организации идут с июля 2025 года; подтверждено минимум три жертвы — в разработке ПО, строительстве и производстве проводного телекоммуникационного оборудования.

Цепочка заражения

  • Фишинговые страницы ведут на подготовленные страницы GitHub, которые подгружают JavaScript с внешних доменов.
  • Дальше — цепочка в памяти с участием южнокорейского защитного ПО INISAFE CrossWeb EX и системного fsquirt.exe.
  • Загрузчики ClientHub (связь через Dropbox) и TechHub (тянет модули из приватных репозиториев GitHub), а финальная стадия — модульный бэкдор Cubridge для работы с файлами, выполнения команд, разведки и скриншотов. Отдельные инструменты крадут пароли, cookies и историю из Chromium-браузеров.

Где тут постквантовая криптография

Обновлённый LPEClient вырабатывает общий ключ с C2 через ML-KEM-1024 — стандартизированный NIST постквантовый механизм инкапсуляции ключей. Шифротексты обратно на C2 шифруются GOST, а ответ с финальной нагрузкой расшифровывается Threefish.

Квантовых вычислений у атакующих нет: по оценке Kaspersky, задача — затруднить перехват и анализ трафика и скрыть последующие нагрузки. Для защитников это сигнал, что расшифровка трафика как способ обнаружения работает всё хуже, а упор нужно делать на поведенческий анализ на конечных точках.

Kaspersky researchers published a report on the FlashHole campaign, attributed with medium-to-high confidence to North Korea’s Lazarus. Attacks on South Korean organizations have been running since July 2025; at least three victims are confirmed — in software development, construction and wired communications equipment manufacturing.

Infection chain

  • Phishing pages lead to crafted GitHub pages that load JavaScript from external domains.
  • Next comes an in-memory chain involving the South Korean security tool INISAFE CrossWeb EX and the Windows binary fsquirt.exe.
  • Loaders ClientHub (Dropbox-based comms) and TechHub (pulls modules from private GitHub repos) lead to the final stage — Cubridge, a modular backdoor for file management, command execution, reconnaissance and screenshots. Separate tools steal passwords, cookies and history from Chromium browsers.

Where post-quantum crypto comes in

The updated LPEClient derives a shared key with the C2 using ML-KEM-1024, the NIST-standardized post-quantum key encapsulation mechanism. Ciphertexts sent back to the C2 are encrypted with GOST, and the response carrying the final payload is decrypted with Threefish.

The attackers have no quantum computing: Kaspersky’s assessment is that the goal is to make traffic interception and analysis harder and hide later payloads. For defenders, it is another sign that traffic decryption is losing value as a detection method and endpoint behavioral analysis matters more.

Источники