Хакерите од Lazarus користат постквантна криптографија за испорака на малициозен софтвер

Хакери од Северна Кореја користат постквантен криптографски механизам за да ја заштитат испораката на малициозни податоци (payloads) во нови напади што комбинираат стар и нов малициозен софтвер.

Кампањата е насочена кон организации во Јужна Кореја и користи „прилично сложен“ синџир на заразување. Истражувачите од компанијата за сајбер-безбедност Kaspersky ја нарекле операцијата FlashHole и ѝ ја припишале на хакерската група Lazarus Group.

Анализата на малициозниот софтвер открила дека злонамерниот актер го користел стандардизираниот постквантен криптографски механизам ML-KEM за комуникација со командно-контролниот сервер (C2), преку кој се испорачува малициозниот софтвер.

Kaspersky наведува дека напаѓачите користеле малициозен софтвер наречен LPEClient, кој и претходно бил поврзуван со групата Lazarus (повеќе информации). Преку него добивале јавни клучеви ML-KEM-1024 од својата C2-инфраструктура и генерирале заеднички криптографски клучеви, кои им овозможувале да ги дешифрираат дополнителните малициозни податоци што пристигнувале подоцна.

Според истражувачите, нападите започнале во јули 2025 година и се потпирале на фишинг-страници што ги пренасочувале целите кон специјално изработени страници на GitHub.

Овие веб-страници вчитуваат JavaScript-код од надворешни домени, со што се активира синџир на извршување во меморијата. Во него е вклучена алатката за безбедност INISAFE CrossWeb EX, која е широко користена во Јужна Кореја.

Процесот на оваа безбедносна алатка ја извршувал легитимната Windows-бинарна датотека fsquirt.exe, која била искористена за извршување на шел-код (shellcode). Тој го инсталирал TechHub — програма за преземање (downloader), одговорна за преземање дополнителен малициозен софтвер од приватни складишта на GitHub.

Kaspersky идентификувал најмалку три компании во Јужна Кореја, од секторите за софтвер, градежништво и производство на опрема за жичени комуникации. Сепак, истражувачите се сомневаат дека биле погодени многу повеќе организации.

Друга нова алатка забележана во овие напади е ClientHub — програма за вчитување малициозен софтвер (loader), која поддржува комуникација преку Dropbox, како и директна размена на податоци со LPEClient.

Истражувачите забележуваат дека LPEClient ги профилира жртвите, прима шифрирани малициозни податоци преку ClientHub и ги избегнува безбедносните механизми за следење и откривање закани.

Друг малициозен софтвер забележан во нападите е Cubridge — модуларен заден влез (backdoor) што овозможува управување со датотеки, извршување команди и извидување на заразениот систем. Исто така, поддржува правење снимки од екранот и вчитување дополнителни малициозни компоненти на заразените системи.

Kaspersky забележал и дополнителни алатки насочени кон прелистувачите базирани на Chromium, со цел да ги украдат податоците за најавување на корисничките сметки, колачињата (cookies) и историјата на прелистување.

Истражувачите забележуваат дека најголемиот дел од кодот на групата Lazarus се извршува директно во меморијата, иако механизмите за одржување на постојан пристап до заразениот систем оставаат одредени датотеки на дискот на жртвата.

Постквантна енкрипција

Употребата на постквантскиот криптографски механизам ML-KEM се издвојува во операцијата FlashHole, бидејќи станува збор за стандард одобрен од NIST, кој се применува во повеќе софтверски проекти како начин за заштита на податоците од напади од типот „сега укради, подоцна дешифрирај“.

Техничката анализа покажа дека LPEClient од C2-серверот добил „низа од бајти што содржи четири блока од по 1.568 бајти“, при што секој блок содржи јавен клуч ML-KEM-1024.

„LPEClient потоа генерира четири различни парови споделени клучеви и шифрирани текстови врз основа на овие блокови, ги шифрира шифрираните текстови со алгоритмот GOST и ги испраќа до C2-серверот преку ClientHub“, објаснува Kaspersky.

Споделените тајни обезбедуваат клучен материјал за алгоритмот Threefish, уште еден алгоритам за енкрипција, кој го дешифрира одговорот што содржи параметри и извршна датотека со малициозен софтвер.

Конечниот малициозен товар е Cubridge, кој LPEClient рефлексивно го вчитува директно во меморијата на заразениот систем.

Kaspersky смета дека Lazarus го користи овој метод, заедно со синџир на извршување во меморијата, за да го сведе ризикот од откривање на минимум.

„Употребата на постквантна криптографија покажува дека групата има намера да ги сокрие следните малициозни товари“, наведува Kaspersky.

Истражувачите на Kaspersky ја сместуваат операцијата FlashHole во рамките на пошироката активност Cascade Hole и, со средно до високо ниво на сигурност, ја поврзуваат со претходната операција SyncHole.

Извори:

• Bleeping Computer – Lazarus hackers use post-quantum cryptography for malware delivery Bleeping Computer