Lazarus 黑客利用后量子密码学投递恶意软件

朝鲜黑客正在使用一种后量子密码学机制来保护恶意载荷的投递，这些新行动结合了新旧恶意软件。

该攻击活动通过一条"相当复杂"的感染链针对韩国组织。网络安全公司卡巴斯基的研究人员将该行动命名为 FlashHole，并将其归因于 Lazarus Group。

对恶意软件的分析显示，威胁行为者使用标准化的 ML-KEM 后量子密码学机制与命令与控制（C2）服务器通信，以投递恶意软件。

卡巴斯基表示，攻击者使用此前与 Lazarus 相关联的 LPEClient 恶意软件，从其 C2 基础设施接收 ML-KEM-1024 公钥并生成共享密钥，从而能够解密随后传入的载荷。

据研究人员称，攻击始于 2025 年 7 月，依靠网络钓鱼页面将目标引导至特制的 GitHub 页面。

这些页面从外部域加载 JavaScript 代码，触发一条内存中执行链，其中涉及 INISAFE CrossWeb EX——一款在韩国流行的安全工具。

该安全工具的进程执行了合法的 Windows 二进制文件 fsquirt.exe，后者被用于运行 shellcode，进而安装 TechHub——一个负责从私有 GitHub 仓库获取其他恶意软件的下载器。

卡巴斯基确认了韩国至少三家公司，分别属于软件、建筑和有线通信设备制造行业，但怀疑还有更多组织受到影响。

这些攻击中出现的另一个新工具是 ClientHub，一个支持 Dropbox 通信以及与 LPEClient 直接数据交换的加载器。

研究人员指出，LPEClient 对受害者进行画像，通过 ClientHub 接收加密载荷，并规避安全监控。

攻击中观察到的另一个恶意软件是 Cubridge，一个模块化后门，提供文件管理、命令执行和侦察能力，还支持截屏并在受感染系统上加载其他载荷。

卡巴斯基还发现了针对基于 Chromium 的浏览器、用于获取账户凭证、cookie 和浏览历史的额外工具。

研究人员指出，Lazarus 的大部分代码在内存中运行，不过持久化机制会在受害者磁盘上留下一些文件。

后量子加密

在 FlashHole 行动中，使用 ML-KEM 后量子密码学机制尤为突出，因为它是 NIST 批准的标准，存在于多个软件项目中，用于保护数据免受"先窃取后解密"攻击。

技术分析显示，LPEClient 从 C2 获取了"一个由四个 1,568 字节块组成的字节数组"，每个块包含一个 ML-KEM-1024 公钥。

"LPEClient 随后从这些块生成四对不同的共享密钥和密文，使用 GOST 算法加密密文，并通过 ClientHub 将其传输到 C2 服务器，"卡巴斯基解释道。

这些共享秘密为 Threefish（另一种加密算法）提供密钥材料，后者用于解密包含参数和可执行载荷的响应。

最终载荷是 Cubridge，LPEClient 将其反射加载到主机内存中。

卡巴斯基认为，Lazarus 使用此方法配合内存中执行链，将检测风险降至最低。

"后量子密码学的使用表明，该组织意图隐藏后续载荷，"卡巴斯基表示。

卡巴斯基研究人员将 FlashHole 归入更广泛的 Cascade Hole 活动，并以中高置信度将其与此前的 Operation SyncHole 联系起来。