FlashHole: Lazarus usa ML-KEM post-quantistico per il malware

I ricercatori di Kaspersky hanno descritto FlashHole, una campagna di spionaggio che attribuiscono al gruppo nordcoreano Lazarus. La novità è la crittografia: una versione aggiornata del malware LPEClient usa ML-KEM-1024, il meccanismo post-quantistico di incapsulamento delle chiavi standardizzato dal NIST, per concordare con il server di comando e controllo (C2) le chiavi che proteggono i payload successivi. Secondo Agenda Digitale, i risultati sono stati presentati dal team GReAT di Kaspersky al Security Analyst Summit di Bali.

Cosa è successo

Secondo Kaspersky, ripresa da BleepingComputer e Cybersecurity360, la campagna è attiva almeno da luglio 2025 e ha colpito almeno tre organizzazioni in Corea del Sud, nei settori del software, dell’edilizia e della produzione di apparecchiature per comunicazioni via cavo; i ricercatori ritengono che le vittime siano di più. Kaspersky colloca FlashHole nell’attività più ampia chiamata Cascade Hole e la collega con fiducia medio-alta alla precedente Operation SyncHole; Cybersecurity360 cita anche tecniche già viste in Operation DreamJob.

L’esca sono email di phishing mirate e siti fraudolenti con curriculum e portfolio. Secondo Cybersecurity360 e Agenda Digitale, foto profilo e siti sono stati generati o personalizzati con l’intelligenza artificiale per ogni bersaglio.

La catena di infezione

Secondo la ricostruzione riportata da BleepingComputer:

1. le pagine di phishing portano a pagine GitHub preparate ad arte, che caricano JavaScript da domini esterni;
2. il codice avvia una catena in memoria che coinvolge INISAFE CrossWeb EX, componente di sicurezza e autenticazione web molto diffuso in Corea del Sud. Le fonti non indicano una CVE: Cybersecurity360 parla di una «potenziale via di exploit», Agenda Digitale di una falla in un software che lavora con privilegi elevati;
3. il processo di CrossWeb EX avvia il binario legittimo di Windows fsquirt.exe (la procedura di trasferimento file Bluetooth), usato per eseguire uno shellcode;
4. lo shellcode installa un downloader che preleva altro malware da repository GitHub privati: BleepingComputer lo chiama TechHub, Cybersecurity360 TouchHub;
5. il nuovo loader ClientHub comunica tramite Dropbox e scambia dati direttamente con LPEClient;
6. LPEClient profila la vittima, riceve i payload cifrati attraverso ClientHub ed elude il monitoraggio di sicurezza;
7. il payload finale è Cubridge, backdoor modulare (gestione dei file, comandi, ricognizione, schermate, altri moduli), caricata da LPEClient in memoria con tecnica riflessiva.

Kaspersky ha visto anche strumenti che rubano dai browser basati su Chromium credenziali, cookie e cronologia. Secondo BleepingComputer gran parte del codice resta in memoria, ma la persistenza lascia alcuni file su disco; Agenda Digitale descrive invece un LPEClient che non scrive quasi nulla su disco e manomette i permessi della memoria per accecare gli EDR.

Come funziona lo scambio ML-KEM

Dal C2 LPEClient riceve quattro blocchi da 1.568 byte, ciascuno una chiave pubblica ML-KEM-1024. Per ogni chiave genera un segreto condiviso e il relativo testo cifrato; i quattro testi cifrati vengono cifrati a loro volta con l’algoritmo GOST e inviati al C2 tramite ClientHub. I segreti condivisi forniscono il materiale di chiave per Threefish, con cui LPEClient decifra la risposta: parametri e payload eseguibile. Secondo Kaspersky lo scopo è nascondere i payload e ridurre al minimo il rischio di rilevamento.

La conseguenza pratica per chi difende: il traffico registrato in rete non basta a ricostruire i payload senza le chiavi private del C2 o i segreti presenti nella memoria della macchina infetta. Agenda Digitale sottolinea l’effetto sull’analisi forense, perché diventa difficile stabilire a posteriori cosa è transitato. L’analisi si sposta sull’endpoint e sulla sua memoria.

Tecniche MITRE ATT&CK

Le tecniche che corrispondono ai comportamenti descritti:

• T1566.002 Spearphishing Link e T1203 Exploitation for Client Execution (CrossWeb EX, se confermato);
• T1055 Process Injection (fsquirt.exe) e T1620 Reflective Code Loading (Cubridge);
• T1102 Web Service (GitHub, Dropbox) e T1573.002 Asymmetric Cryptography;
• T1555.003 Credentials from Web Browsers, T1539 Steal Web Session Cookie, T1113 Screen Capture.

Gli articoli non riportano indicatori di compromissione: vanno presi dal materiale tecnico di Kaspersky.

Impatto per le aziende europee e italiane

CrossWeb EX appartiene all’ecosistema bancario e istituzionale sudcoreano: l’esposizione diretta riguarda soprattutto chi ha sedi, filiali o fornitori in Corea del Sud. Il resto della catena non è specifico: falsi profili professionali, abuso di GitHub e Dropbox, esecuzione in memoria. Agenda Digitale ricorda che lo spionaggio nordcoreano ha già colpito contractor della difesa e dell’aerospazio in diversi paesi europei e indica come anello debole i subfornitori di secondo e terzo livello delle filiere strategiche: per i soggetti NIS2 è un tema di sicurezza della catena di approvvigionamento.

Cosa fare subito

1. Forma chi riceve candidature e proposte: offerte di lavoro, curriculum e portfolio sono l’esca; verifica le identità con un canale indipendente.
2. Fai l’inventario dei componenti richiesti da siti bancari o istituzionali e dei software con privilegi elevati: aggiornali e togli quelli che non servono.
3. Limita i privilegi degli utenti, come indicano i ricercatori.
4. Sorveglia i servizi cloud usati come C2: accessi a repository GitHub privati e alle API di Dropbox da processi che non dovrebbero farlo.
5. Cerca le anomalie di processo: fsquirt.exe avviato da un processo insolito o che apre connessioni di rete, codice caricato solo in memoria.
6. Proteggi le credenziali dei browser: limita il salvataggio delle password nei browser Chromium con le policy aziendali e, dopo una compromissione, revoca sessioni e cookie oltre a cambiare le password.
7. In caso di incidente acquisisci la memoria prima di spegnere o reinstallare la macchina: con payload in memoria e traffico non ricostruibile è spesso la prova principale.

Come aiuta ARXDOME

ARX Horizon consente di interrogare le fonti di threat intelligence alla ricerca di indicatori di compromissione; ARX Trace avvia raccolte e ricerche su più macchine e mostra gli eventi con la mappatura MITRE ATT&CK; ARX Sentry raccoglie log ed eventi di computer e server; ARX Shield isola dalla rete una macchina sospetta in attesa dell’analisi.

Ultimo aggiornamento: 23 ottobre 2026