Lazarus emplea criptografía poscuántica para distribuir malware contra organizaciones surcoreanas

El 21 de octubre de 2026, Kaspersky informó de una operación atribuida al grupo Lazarus que emplea el mecanismo criptográfico poscuántico estandarizado ML-KEM para proteger la comunicación con su infraestructura de mando y control y la entrega de malware. La campaña, denominada FlashHole, comenzó en julio de 2025 y se dirige a organizaciones de Corea del Sur mediante una cadena de infección compleja.

Los ataques utilizaban páginas de phishing que redirigían a sitios de GitHub preparados para cargar código JavaScript desde dominios externos. La cadena implicaba a INISAFE CrossWeb EX, una herramienta de seguridad popular en Corea del Sur, cuyo proceso ejecutaba el binario legítimo fsquirt.exe para iniciar shellcode e instalar TechHub, un descargador que obtenía malware adicional desde repositorios privados de GitHub.

Según Kaspersky, LPEClient recibía del servidor de mando y control cuatro bloques de 1.568 bytes con claves públicas ML-KEM-1024. El malware generaba pares de claves compartidas y textos cifrados, los protegía con el algoritmo GOST y los enviaba mediante ClientHub. Los secretos compartidos proporcionaban el material criptográfico para Threefish, utilizado para descifrar la respuesta con los parámetros y la carga ejecutable.

La carga final identificada fue Cubridge, una puerta trasera modular con funciones de gestión de archivos, ejecución de comandos, reconocimiento, captura de pantallas y carga de componentes adicionales. Los investigadores también observaron herramientas dirigidas a navegadores basados en Chromium para robar credenciales de cuentas, cookies e historial de navegación. La mayor parte del código de Lazarus se ejecutaba en memoria, aunque algunos mecanismos de persistencia dejaban archivos en el disco.

Kaspersky identificó al menos tres empresas afectadas de los sectores del software, la construcción y la fabricación de equipos de comunicaciones por cable, aunque sospecha que el alcance fue mayor. La compañía situó FlashHole dentro de la actividad Cascade Hole y la vinculó con la anterior Operation SyncHole con una confianza de media a alta. La utilización de ML-KEM y la ejecución en memoria buscarían reducir las posibilidades de detección y ocultar las cargas posteriores.

Fuente: BleepingComputer.