FlashHole: Lazarus usa ML-KEM poscuántico para su malware

Los investigadores de Kaspersky han descrito FlashHole, una campaña de espionaje que atribuyen al grupo norcoreano Lazarus. La novedad es la criptografía: una versión actualizada del malware LPEClient usa ML-KEM-1024, el mecanismo poscuántico de encapsulamiento de claves estandarizado por el NIST, para acordar con el servidor de mando y control (C2) las claves que protegen los payloads posteriores. Según Agenda Digitale, el equipo GReAT de Kaspersky presentó los resultados en el Security Analyst Summit de Bali.

Qué ha pasado

Según Kaspersky, citada por BleepingComputer y Cybersecurity360, la campaña está activa al menos desde julio de 2025 y ha afectado a al menos tres organizaciones de Corea del Sur, de los sectores del software, la construcción y la fabricación de equipos de comunicaciones por cable; los investigadores creen que hay más víctimas. Kaspersky sitúa FlashHole dentro de la actividad más amplia llamada Cascade Hole y la vincula con confianza media-alta a la anterior Operation SyncHole; Cybersecurity360 menciona también técnicas ya vistas en Operation DreamJob.

El cebo son correos de phishing dirigidos y sitios fraudulentos con currículos y portfolios. Según Cybersecurity360 y Agenda Digitale, las fotos de perfil y los sitios se generaron o personalizaron con inteligencia artificial para cada objetivo.

La cadena de infección

Según la reconstrucción publicada por BleepingComputer:

1. las páginas de phishing llevan a páginas de GitHub preparadas a propósito, que cargan JavaScript desde dominios externos;
2. el código inicia una cadena en memoria en la que interviene INISAFE CrossWeb EX, un componente de seguridad y autenticación web muy extendido en Corea del Sur. Las fuentes no indican ninguna CVE: Cybersecurity360 habla de una «posible vía de explotación», Agenda Digitale de un fallo en un software que funciona con privilegios elevados;
3. el proceso de CrossWeb EX lanza el binario legítimo de Windows fsquirt.exe (el asistente de transferencia de archivos Bluetooth), usado para ejecutar un shellcode;
4. el shellcode instala un downloader que descarga más malware desde repositorios privados de GitHub: BleepingComputer lo llama TechHub, Cybersecurity360 TouchHub;
5. el nuevo loader ClientHub se comunica a través de Dropbox e intercambia datos directamente con LPEClient;
6. LPEClient perfila a la víctima, recibe los payloads cifrados a través de ClientHub y evade la monitorización de seguridad;
7. el payload final es Cubridge, una backdoor modular (gestión de archivos, comandos, reconocimiento, capturas de pantalla, otros módulos) que LPEClient carga en memoria de forma reflectiva.

Kaspersky ha visto también herramientas que roban credenciales, cookies e historial de los navegadores basados en Chromium. Según BleepingComputer, la mayor parte del código permanece en memoria, pero la persistencia deja algunos archivos en disco; Agenda Digitale describe en cambio un LPEClient que casi no escribe en disco y que manipula los permisos de la memoria para cegar a los EDR.

Cómo funciona el intercambio ML-KEM

Desde el C2, LPEClient recibe cuatro bloques de 1.568 bytes, cada uno una clave pública ML-KEM-1024. Para cada clave genera un secreto compartido y el texto cifrado correspondiente; los cuatro textos cifrados se cifran a su vez con el algoritmo GOST y se envían al C2 a través de ClientHub. Los secretos compartidos aportan el material de clave para Threefish, con el que LPEClient descifra la respuesta: parámetros y un payload ejecutable. Según Kaspersky, el objetivo es ocultar los payloads y reducir al mínimo el riesgo de detección.

La consecuencia práctica para quien defiende: el tráfico registrado en la red no basta para reconstruir los payloads sin las claves privadas del C2 o los secretos presentes en la memoria del equipo infectado. Agenda Digitale subraya el efecto sobre el análisis forense, porque resulta difícil establecer a posteriori qué ha pasado por el canal. El análisis se traslada al endpoint y a su memoria.

Técnicas MITRE ATT&CK

Técnicas que corresponden a los comportamientos descritos:

• T1566.002 Spearphishing Link y T1203 Exploitation for Client Execution (CrossWeb EX, si se confirma);
• T1055 Process Injection (fsquirt.exe) y T1620 Reflective Code Loading (Cubridge);
• T1102 Web Service (GitHub, Dropbox) y T1573.002 Asymmetric Cryptography;
• T1555.003 Credentials from Web Browsers, T1539 Steal Web Session Cookie, T1113 Screen Capture.

Los artículos no incluyen indicadores de compromiso: tómalos del material técnico de Kaspersky.

Impacto para las empresas europeas e italianas

CrossWeb EX pertenece al ecosistema bancario e institucional surcoreano: la exposición directa afecta sobre todo a quien tiene sedes, filiales o proveedores en Corea del Sur. El resto de la cadena no es específico: perfiles profesionales falsos, abuso de GitHub y Dropbox, ejecución en memoria. Agenda Digitale recuerda que el espionaje norcoreano ya ha atacado a contratistas de defensa y aeroespacial en varios países europeos y señala como eslabón débil a los subcontratistas de segundo y tercer nivel de las cadenas estratégicas: para las entidades sujetas a NIS2 es una cuestión de seguridad de la cadena de suministro.

Qué hacer ya

1. Forma a quien recibe candidaturas y propuestas: ofertas de empleo, currículos y portfolios son el cebo; verifica las identidades por un canal independiente.
2. Haz inventario de los componentes que exigen los sitios bancarios o institucionales y del software con privilegios elevados: actualízalos y elimina los que no necesites.
3. Limita los privilegios de los usuarios, como recomiendan los investigadores.
4. Vigila los servicios en la nube usados como C2: accesos a repositorios privados de GitHub y a la API de Dropbox desde procesos que no deberían hacerlo.
5. Busca anomalías en los procesos: fsquirt.exe iniciado por un proceso inusual o que abre conexiones de red, código cargado solo en memoria.
6. Protege las credenciales de los navegadores: limita el guardado de contraseñas en los navegadores Chromium con políticas corporativas y, tras una intrusión, revoca sesiones y cookies además de cambiar las contraseñas.
7. Ante un incidente, adquiere la memoria antes de apagar o reinstalar el equipo: con payloads en memoria y un tráfico que no se puede reconstruir, suele ser la prueba principal.

Cómo ayuda ARXDOME

ARX Horizon te permite consultar las fuentes de threat intelligence en busca de indicadores de compromiso; ARX Trace lanza recopilaciones y búsquedas en varios equipos y muestra los eventos con el mapeo MITRE ATT&CK; ARX Sentry recoge registros y eventos de ordenadores y servidores; ARX Shield aísla de la red un equipo sospechoso mientras se analiza.

Última actualización: 23 de octubre de 2026