In questo articolo Indice dei contenuti 2 sezioni
Il gruppo nordcoreano Lazarus ha iniziato a usare la crittografia post quantistica per proteggere la distribuzione dei propri malware. Succede in una nuova serie di attacchi che mescola strumenti già noti e software mai visti prima, con un obiettivo preciso: rendere il più difficile possibile l’intercettazione dei payload dannosi mentre viaggiano dal server degli aggressori ai computer delle vittime.
La campagna prende di mira organizzazioni della Corea del Sud attraverso una catena di infezione che gli analisti di Kaspersky definiscono “piuttosto complessa”. L’operazione è stata battezzata FlashHole e attribuita proprio al Lazarus Group. Studiando il codice è emerso che gli hacker si affidano al meccanismo standardizzato ML KEM per dialogare con il server di comando e controllo, quello che in gergo si chiama C2, durante la consegna dei malware.
Come funziona la catena di infezione di FlashHole
Gli attacchi sono cominciati a luglio 2025 e partono da pagine di phishing che portano le vittime verso pagine GitHub costruite ad arte. Da lì viene caricato codice JavaScript ospitato su domini esterni, che innesca una sequenza di esecuzione interamente in memoria. Al centro di questa sequenza c’è INISAFE CrossWeb EX, uno strumento di sicurezza molto diffuso in Corea del Sud. Il suo processo avvia fsquirt.exe, un file legittimo di Windows, che a sua volta viene sfruttato per lanciare uno shellcode. Il risultato finale di questo primo passaggio è l’installazione di TechHub, un downloader incaricato di recuperare altro software malevolo da repository GitHub privati.
Le vittime accertate sono almeno tre aziende sudcoreane attive nel software, nell’edilizia e nella produzione di apparecchiature per comunicazioni via cavo. I ricercatori però sospettano che le organizzazioni colpite siano molte di più. Tra i nuovi strumenti individuati spicca ClientHub, un loader capace di comunicare tramite Dropbox e di scambiare dati direttamente con LPEClient, un malware già associato in passato a Lazarus. Quest’ultimo profila le vittime e riceve payload cifrati attraverso ClientHub, eludendo nel frattempo i sistemi di monitoraggio.
Nell’arsenale compare poi Cubridge, una backdoor modulare che permette di gestire file, eseguire comandi e fare ricognizione sul sistema. Può anche catturare schermate e caricare ulteriori componenti sulle macchine infette. Sono stati osservati pure strumenti mirati ai browser basati su Chromium, pensati per sottrarre credenziali, cookie e cronologia di navigazione. Quasi tutto il codice del gruppo gira in memoria, anche se i meccanismi di persistenza lasciano qualche file sul disco della vittima.
Il ruolo della crittografia post quantistica
Il dettaglio che rende davvero particolare l’operazione FlashHole è proprio l’adozione di ML KEM. Si tratta di uno standard approvato dal NIST e già integrato in diversi progetti software, nato per difendere i dati dagli attacchi di tipo “hack now decrypt later”, quelli in cui le informazioni vengono rubate oggi per essere decifrate in futuro con tecnologie più potenti.
Dall’analisi tecnica risulta che LPEClient riceve dal server C2 una sequenza di byte composta da quattro blocchi da 1.568 byte, ognuno contenente una chiave pubblica ML KEM 1024. A partire da questi blocchi il malware genera quattro coppie distinte di chiavi condivise e testi cifrati. I testi cifrati vengono poi protetti con l’algoritmo GOST e inviati al server tramite ClientHub. I segreti condivisi forniscono il materiale per un altro algoritmo, Threefish, che serve a decifrare la risposta contenente i parametri e il payload eseguibile.
Il carico finale è Cubridge, che LPEClient carica in modo riflessivo direttamente nella memoria del computer. Secondo Kaspersky il gruppo combina questo metodo con l’esecuzione in memoria per ridurre al minimo il rischio di essere scoperto. “L’uso della crittografia post quantistica dimostra che il gruppo intende nascondere i payload successivi”, spiegano i ricercatori.
Gli analisti collocano FlashHole all’interno della più ampia attività nota come Cascade Hole e la collegano, con un livello di fiducia da medio ad alto, alla precedente Operation SyncHole.
Fonte: TecnoAndroid