FlashHole: Lazarus folosește ML-KEM post-cuantic pentru malware

Cercetătorii Kaspersky au descris FlashHole, o campanie de spionaj pe care o atribuie grupului nord-coreean Lazarus. Noutatea este criptografia: o versiune actualizată a malware-ului LPEClient folosește ML-KEM-1024, mecanismul post-cuantic de încapsulare a cheilor standardizat de NIST, pentru a stabili cu serverul de comandă și control (C2) cheile care protejează payloadurile ulterioare. Potrivit Agenda Digitale, rezultatele au fost prezentate de echipa GReAT a Kaspersky la Security Analyst Summit din Bali.

Ce s-a întâmplat

Potrivit Kaspersky, citată de BleepingComputer și Cybersecurity360, campania este activă cel puțin din iulie 2025 și a lovit cel puțin trei organizații din Coreea de Sud, din sectoarele software, construcții și producția de echipamente de comunicații prin cablu; cercetătorii cred că victimele sunt mai multe. Kaspersky încadrează FlashHole în activitatea mai largă numită Cascade Hole și o leagă, cu încredere medie spre ridicată, de anterioara Operation SyncHole; Cybersecurity360 menționează și tehnici văzute deja în Operation DreamJob.

Momeala sunt emailuri de phishing țintite și site-uri frauduloase cu CV-uri și portofolii. Potrivit Cybersecurity360 și Agenda Digitale, fotografiile de profil și site-urile au fost generate sau personalizate cu inteligență artificială pentru fiecare țintă.

Lanțul de infectare

Potrivit reconstituirii publicate de BleepingComputer:

1. paginile de phishing duc la pagini GitHub pregătite special, care încarcă JavaScript de pe domenii externe;
2. codul pornește un lanț în memorie care implică INISAFE CrossWeb EX, o componentă de securitate și autentificare web foarte răspândită în Coreea de Sud. Sursele nu indică niciun CVE: Cybersecurity360 vorbește despre o „posibilă cale de exploatare”, Agenda Digitale despre o vulnerabilitate într-un software care rulează cu privilegii ridicate;
3. procesul CrossWeb EX lansează binarul legitim Windows fsquirt.exe (asistentul de transfer de fișiere prin Bluetooth), folosit pentru a executa un shellcode;
4. shellcode-ul instalează un downloader care aduce alt malware din repository-uri GitHub private: BleepingComputer îl numește TechHub, Cybersecurity360 TouchHub;
5. noul loader ClientHub comunică prin Dropbox și schimbă date direct cu LPEClient;
6. LPEClient profilează victima, primește payloadurile criptate prin ClientHub și evită monitorizarea de securitate;
7. payloadul final este Cubridge, un backdoor modular (gestionarea fișierelor, comenzi, recunoaștere, capturi de ecran, alte module), încărcat de LPEClient în memorie prin tehnica reflectivă.

Kaspersky a observat și instrumente care fură din browserele bazate pe Chromium credențiale, cookie-uri și istoricul navigării. Potrivit BleepingComputer, cea mai mare parte a codului rămâne în memorie, dar persistența lasă unele fișiere pe disc; Agenda Digitale descrie în schimb un LPEClient care nu scrie aproape nimic pe disc și modifică permisiunile memoriei pentru a orbi soluțiile EDR.

Cum funcționează schimbul ML-KEM

De la C2, LPEClient primește patru blocuri de 1.568 de octeți, fiecare fiind o cheie publică ML-KEM-1024. Pentru fiecare cheie generează un secret partajat și textul cifrat corespunzător; cele patru texte cifrate sunt criptate la rândul lor cu algoritmul GOST și trimise către C2 prin ClientHub. Secretele partajate furnizează materialul de cheie pentru Threefish, cu care LPEClient decriptează răspunsul: parametri și un payload executabil. Potrivit Kaspersky, scopul este ascunderea payloadurilor și reducerea la minimum a riscului de detectare.

Consecința practică pentru cine apără: traficul înregistrat în rețea nu este suficient pentru a reconstitui payloadurile fără cheile private ale C2 sau secretele aflate în memoria mașinii infectate. Agenda Digitale subliniază efectul asupra analizei criminalistice, pentru că devine greu de stabilit ulterior ce a trecut prin canal. Analiza se mută pe endpoint și pe memoria acestuia.

Tehnici MITRE ATT&CK

Tehnicile care corespund comportamentelor descrise:

• T1566.002 Spearphishing Link și T1203 Exploitation for Client Execution (CrossWeb EX, dacă se confirmă);
• T1055 Process Injection (fsquirt.exe) și T1620 Reflective Code Loading (Cubridge);
• T1102 Web Service (GitHub, Dropbox) și T1573.002 Asymmetric Cryptography;
• T1555.003 Credentials from Web Browsers, T1539 Steal Web Session Cookie, T1113 Screen Capture.

Articolele nu includ indicatori de compromitere: ia-i din materialul tehnic al Kaspersky.

Impactul pentru companiile europene și italiene

CrossWeb EX aparține ecosistemului bancar și instituțional sud-coreean: expunerea directă îi privește mai ales pe cei care au sedii, filiale sau furnizori în Coreea de Sud. Restul lanțului nu este specific: profiluri profesionale false, abuzul de GitHub și Dropbox, execuție în memorie. Agenda Digitale amintește că spionajul nord-coreean a lovit deja contractori din apărare și industria aerospațială din mai multe țări europene și indică drept veriga slabă subcontractorii de nivelul doi și trei din lanțurile strategice: pentru entitățile NIS2 este o problemă de securitate a lanțului de aprovizionare.

Ce să faci acum

1. Instruiește persoanele care primesc candidaturi și propuneri: ofertele de muncă, CV-urile și portofoliile sunt momeala; verifică identitățile printr-un canal independent.
2. Fă inventarul componentelor cerute de site-urile bancare sau instituționale și al software-ului cu privilegii ridicate: actualizează-le și elimină-le pe cele de care nu ai nevoie.
3. Limitează privilegiile utilizatorilor, așa cum recomandă cercetătorii.
4. Supraveghează serviciile cloud folosite ca C2: accesul la repository-uri GitHub private și la API-ul Dropbox din procese care nu ar trebui să facă asta.
5. Caută anomalii de proces: fsquirt.exe pornit de un proces neobișnuit sau care deschide conexiuni de rețea, cod încărcat doar în memorie.
6. Protejează credențialele din browsere: limitează salvarea parolelor în browserele Chromium prin politici de companie și, după o compromitere, revocă sesiunile și cookie-urile, pe lângă schimbarea parolelor.
7. În caz de incident, achiziționează memoria înainte de a opri sau reinstala mașina: cu payloaduri în memorie și trafic care nu poate fi reconstituit, este adesea principala dovadă.

Cum ajută ARXDOME

ARX Horizon îți permite să interoghezi sursele de threat intelligence pentru indicatori de compromitere; ARX Trace pornește colectări și căutări pe mai multe mașini și afișează evenimentele cu maparea MITRE ATT&CK; ARX Sentry colectează loguri și evenimente de la computere și servere; ARX Shield izolează din rețea o mașină suspectă până la analiză.

Ultima actualizare: 23 octombrie 2026