Lazarus szyfruje dostarczanie malware postkwantowym algorytmem ML-KEM-1024

Grupa Lazarus w kampanii FlashHole zabezpiecza dostarczanie złośliwego oprogramowania postkwantowym mechanizmem ML-KEM-1024. Atak jest wymierzony w firmy z Korei Południowej, a materiał nie wskazuje żadnej poprawki. Według Kaspersky malware LPEClient pobiera klucze publiczne ML-KEM-1024 z serwera C2 i tworzy z nich klucze współdzielone, którymi odszyfrowuje kolejne ładunki. Łańcuch zaczyna się od stron phishingowych, które prowadzą do spreparowanych stron na GitHubie. Ich kod JavaScript uruchamia w pamięci łańcuch z udziałem INISAFE CrossWeb EX. Ten przez legalny plik Windows fsquirt.exe instaluje downloader TechHub, który pobiera kolejne narzędzia z prywatnych repozytoriów GitHub. Nowością jest też loader ClientHub, który komunikuje się przez Dropbox.

Kogo dotyczy

Kaspersky potwierdził co najmniej trzy firmy z Korei Południowej z branży oprogramowania, budowlanej i produkcji urządzeń do łączności przewodowej. Badacze podejrzewają, że ofiar jest znacznie więcej. Ataki trwają od lipca 2025 roku.