Hackers Lazarus usam criptografia pós-quântica para entregar malware
A Kaspersky atribui ao grupo norte-coreano a operação FlashHole, que usa o mecanismo ML-KEM para proteger a entrega de payloads contra organizações sul-coreanas.
Foto: Darlene Alderson (Pexels)
Hackers ligados à Coreia do Norte passaram a usar um mecanismo de criptografia pós-quântica para proteger a entrega de cargas maliciosas em operações que misturam malware antigo e novo. A campanha mira organizações na Coreia do Sul com uma cadeia de infecção descrita como bastante complexa.
Pesquisadores da empresa de cibersegurança Kaspersky batizaram a operação de FlashHole e a atribuíram ao grupo Lazarus. A análise do malware mostrou uso do mecanismo padronizado ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) na comunicação com o servidor de comando e controle para a entrega do malware.
O que aconteceu
Segundo a Kaspersky, os atacantes usaram o malware LPEClient, já associado ao Lazarus, para receber chaves públicas ML-KEM-1024 da infraestrutura de comando e controle e gerar chaves compartilhadas que permitiam descriptografar os payloads recebidos em seguida. Os ataques teriam começado em julho de 2025 e se apoiado em páginas de phishing que direcionavam as vítimas a páginas especialmente preparadas no GitHub.
Essas páginas carregavam código JavaScript de domínios externos e disparavam uma cadeia de execução em memória envolvendo o INISAFE CrossWeb EX, ferramenta de segurança popular na Coreia do Sul. O processo dessa ferramenta executava o binário legítimo do Windows fsquirt.exe, usado para rodar shellcode que instalava o TechHub, um downloader responsável por obter malware adicional a partir de repositórios privados no GitHub.
A Kaspersky identificou ao menos três empresas sul-coreanas nos setores de software, construção e fabricação de equipamentos de comunicação com fio, mas suspeita que muitas outras organizações tenham sido afetadas. Outra ferramenta nova vista nos ataques é o ClientHub, um loader que suporta comunicações via Dropbox e troca direta de dados com o LPEClient. Os pesquisadores apontam que o LPEClient faz o perfil das vítimas, recebe payloads criptografados pelo ClientHub e busca evadir o monitoramento de segurança.
Também foi observado o Cubridge, um backdoor modular com gestão de arquivos, execução de comandos, reconhecimento, captura de tela e carregamento de payloads adicionais. A Kaspersky viu ainda ferramentas voltadas a navegadores baseados em Chromium para roubar credenciais, cookies e histórico. Grande parte do código do Lazarus roda em memória, embora mecanismos de persistência deixem alguns arquivos no disco da vítima.
O uso do ML-KEM chama atenção porque é um padrão aprovado pelo NIST (National Institute of Standards and Technology) e adotado em vários projetos de software para proteger dados de ataques do tipo “hack now, decrypt later” — comprometer agora e descriptografar depois. Na análise técnica, o LPEClient obteve do servidor de comando e controle um array de bytes com quatro blocos de 1.568 bytes, cada um com uma chave pública ML-KEM-1024. Em seguida, gerou quatro pares distintos de chaves compartilhadas e ciphertexts, criptografou os ciphertexts com o algoritmo GOST e os enviou ao servidor via ClientHub. Os segredos compartilhados alimentavam o Threefish, outro algoritmo de criptografia, para descriptografar a resposta com parâmetros e um payload executável — o Cubridge, carregado de forma reflexiva na memória do host.
O que isso pode mudar
A Kaspersky avalia que o Lazarus combina esse método com a execução em memória para reduzir ao mínimo o risco de detecção. A frase dos pesquisadores resume a hipótese: o uso de criptografia pós-quântica indicaria a intenção do grupo de ocultar payloads subsequentes. FlashHole também foi situada no contexto mais amplo da atividade Cascade Hole e ligada, com confiança média a alta, à Operation SyncHole anterior.
Se a prática se espalhar, defesas que ainda tratam a criptografia pós-quântica apenas como agenda futura de proteção de dados podem ter de revisá-la também como ferramenta ofensiva. Organizações, sobretudo em cadeias de infecção que abusam de ferramentas locais legítimas e repositórios privados, tendem a precisar olhar com mais rigor o tráfego criptografado e os loaders em memória — sem que isso garanta, por si só, a contenção de campanhas semelhantes.
Fontes: BleepingComputer
Leia mais em: mundodosnegocio.com.br