Lazarus-Malware nutzt Post-Quanten-Kryptografie bei Angriffen

Eine Kampagne mit Lazarus-Malware nutzt Post-Quanten-Kryptografie, um die Übertragung schädlicher Payloads bei Angriffen auf südkoreanische Organisationen zu schützen. Forscher nannten die Operation FlashHole und brachten sie mit der nordkoreanischen Hackergruppe in Verbindung.

Die Kampagne kombiniert bekannte Malware mit neu identifizierten Werkzeugen und setzt in hohem Maße auf die Ausführung direkt im Arbeitsspeicher. Gleichzeitig verwendet der Übertragungsprozess ML-KEM-1024, einen standardisierten Post-Quanten-Mechanismus zur Schlüsselkapselung, um gemeinsame Geheimnisse für die Entschlüsselung eingehender Payloads zu erzeugen.

FlashHole zielt auf südkoreanische Unternehmen ab

Laut den Forschern begannen die FlashHole-Aktivitäten im Juli 2025. Sie identifizierten mindestens drei betroffene Unternehmen aus den Bereichen Software, Bauwesen und Herstellung von Geräten für kabelgebundene Kommunikation.

Allerdings vermuten sie, dass die Kampagne weitere Organisationen erreichte. Die bestätigten Fälle stellen daher eine Mindestzahl und keine vollständige Opferbilanz dar.

Bei den Angriffen kamen Phishing-Seiten zum Einsatz, die die Zielpersonen auf speziell präparierte GitHub-Seiten weiterleiteten. Diese Seiten luden anschließend JavaScript von externen Domains und lösten eine mehrstufige Infektionskette aus.

An dieser Kette war INISAFE CrossWeb EX beteiligt, eine in Südkorea weit verbreitete Sicherheitsanwendung. Deren Prozess führte das legitime Windows-Programm fsquirt.exe aus, das die Angreifer zur Ausführung von Shellcode nutzten.

Dieser Shellcode installierte TechHub, einen Downloader, der weitere Malware aus privaten GitHub-Repositories abrief.

Neue Loader unterstützen die Verbreitung von Lazarus-Malware

FlashHole führte außerdem ClientHub ein, einen Loader, der die Kommunikation über Dropbox sowie den direkten Datenaustausch mit LPEClient unterstützt.

Forscher hatten LPEClient bereits zuvor mit Lazarus-Operationen in Verbindung gebracht. In dieser Kampagne erstellt das Werkzeug Profile der Opfer, empfängt verschlüsselte Payloads über ClientHub und verwendet Techniken, die darauf ausgelegt sind, die Sicherheitsüberwachung zu umgehen.

Zusammen verteilen diese Komponenten den Infektionsprozess auf mehrere Werkzeuge. TechHub lädt zusätzliche Malware herunter, während ClientHub die Kommunikation unterstützt und LPEClient die anschließende Verarbeitung der Payloads übernimmt.

Ein Großteil des schädlichen Codes wird direkt im Arbeitsspeicher ausgeführt. Die Mechanismen zur Aufrechterhaltung des Zugriffs hinterlassen jedoch weiterhin einige Dateien auf dem Datenträger des infizierten Systems.

Post-Quanten-Mechanismus schützt den Austausch von Payloads

Der Einsatz von ML-KEM unterscheidet die Kampagne von herkömmlichen Methoden zur Verbreitung von Malware. Der von NIST zugelassene Mechanismus erzeugt gemeinsame Geheimnisse, die andere Verschlüsselungsalgorithmen zum Schutz von Daten verwenden können.

Bei FlashHole empfängt LPEClient vier Blöcke von seiner Command-and-Control-Infrastruktur. Jeder Block enthält einen öffentlichen ML-KEM-1024-Schlüssel mit einer Größe von 1.568 Byte.

Anschließend erzeugt LPEClient für jeden öffentlichen Schlüssel ein separates gemeinsames Geheimnis und einen entsprechenden Chiffretext. Danach verschlüsselt das Werkzeug die Chiffretexte mit dem GOST-Algorithmus und sendet sie über ClientHub zurück.

Die daraus resultierenden gemeinsamen Geheimnisse liefern das Schlüsselmaterial für die Threefish-Verschlüsselung. LPEClient verwendet dieses Material, um eine Serverantwort zu entschlüsseln, die Konfigurationsparameter und eine ausführbare Payload enthält.

ML-KEM unterstützt somit die Phase der Schlüsselerzeugung, anstatt die endgültige Malware direkt zu verschlüsseln. Threefish schützt die Antwort, die diese Malware enthält.

Die Forscher gehen davon aus, dass dieser mehrschichtige Prozess dazu beiträgt, nachfolgende Payloads zu verbergen und die Möglichkeiten zur Erkennung zu verringern.

Cubridge ermöglicht Fernzugriff und Überwachung

Die endgültige Payload ist Cubridge, eine modulare Backdoor, die LPEClient mithilfe von Reflective Loading direkt in den Arbeitsspeicher des Hostsystems lädt.

Cubridge unterstützt die Dateiverwaltung, die Ausführung von Befehlen und die Informationsbeschaffung. Das Werkzeug kann außerdem Screenshots erstellen und zusätzliche Payloads auf kompromittierte Systeme laden.

Neben der Backdoor beobachteten die Forscher Werkzeuge, die auf Chromium-basierte Browser abzielen. Diese sammeln Zugangsdaten, Cookies und den Browserverlauf.

Dadurch kombiniert die Kampagne Fernzugriffsmöglichkeiten mit dem Diebstahl von Browserdaten. Ihr modularer Aufbau ermöglicht es den Angreifern außerdem, nach der ersten Kompromittierung zusätzliche Funktionen einzuführen.

Forscher bringen FlashHole mit früheren Operationen in Verbindung

Die Forscher ordnen FlashHole einem größeren Aktivitätscluster namens Cascade Hole zu. Außerdem stellen sie mit mittlerer bis hoher Sicherheit eine Verbindung zur früheren Operation SyncHole her.

Die Ergebnisse zeigen, wie Lazarus-Malware-Operationen bekannte Komponenten mit neuen Übertragungs- und Verschlüsselungstechniken kombinieren.

Der Einsatz von Post-Quanten-Kryptografie bedeutet jedoch nicht, dass die Angreifer einen Quantencomputer verwendet haben. In diesem Fall hilft der Mechanismus dabei, gemeinsame Geheimnisse für die verdeckte Übertragung von Payloads zu erzeugen. Gleichzeitig kommt eine Infektionskette zum Einsatz, die größtenteils direkt im Arbeitsspeicher ausgeführt wird.