Группировка Lazarus встроила в цепочку атак стандарт ML-KEM-1024 — механизм постквантовой криптографии, который обычно обсуждают в контексте защиты легитимных систем от будущих квантовых атак. В кампании FlashHole он помогает скрытно передавать вредоносные модули компаниям из Южной Кореи. Для русскоязычных ИБ-команд это не экзотическая деталь отчёта, а ещё один сигнал: постквантовая криптография Lazarus уже стала прикладным инструментом для обхода защитных средств, а не темой для далёкой криптографической дорожной карты.
Как сообщает BleepingComputer, исследователи Kaspersky связали FlashHole с северокорейской группировкой Lazarus. Первые атаки, по их данным, начались в июле 2025 года. Под удар попали как минимум три южнокорейские организации: разработчик ПО, строительная компания и производитель оборудования для проводной связи. Исследователи допускают, что фактическое число жертв выше: цепочка заражения рассчитана на точечные атаки и не выглядит как массовая рассылка.
Начальная точка — фишинговые страницы, которые ведут на специально подготовленные страницы GitHub. Оттуда загружается JavaScript с внешних доменов, запускающий дальнейшие действия в памяти. В цепочке задействован INISAFE CrossWeb EX — популярный в Южной Корее защитный продукт. Его процесс запускает штатную утилиту Windows fsquirt.exe, а та исполняет shellcode. Следующий компонент, загрузчик TechHub, скачивает дополнительное вредоносное ПО из приватных репозиториев GitHub.
Такой набор сам по себе не новый: злоумышленники давно используют доверенные системные бинарники, компрометированные или уязвимые легитимные программы и облачные сервисы, чтобы смешать свою активность с обычным трафиком. В FlashHole интереснее другое: после первоначального проникновения Lazarus защищает канал получения полезной нагрузки криптографией, рассчитанной на устойчивость к атакам с применением квантовых вычислений.
Центральный элемент этой части операции — ранее известный исследователям модуль LPEClient. Он получает от управляющей инфраструктуры четыре блока по 1568 байт; каждый содержит открытый ключ ML-KEM-1024. Затем программа создаёт четыре пары общего секрета и шифротекста, шифрует шифротексты алгоритмом ГОСТ и передаёт их на сервер через загрузчик ClientHub. Общие секреты становятся ключевым материалом для Threefish, которым расшифровывается ответ сервера с параметрами и исполняемым модулем.
Конечная нагрузка — модульный бэкдор Cubridge. Он умеет работать с файлами, выполнять команды, собирать сведения о системе, делать снимки экрана и загружать новые компоненты. Kaspersky также заметила инструменты для Chromium-браузеров, нацеленные на учётные данные, cookies и историю посещений. Большая часть кода работает в памяти; на диске остаются лишь отдельные элементы закрепления. Для EDR это неприятная комбинация: меньше файловых артефактов, больше легитимных процессов и зашифрованные модули, содержимое которых не видно до выполнения.
ClientHub дополняет схему: он способен обмениваться данными с LPEClient напрямую и использовать Dropbox для коммуникаций. LPEClient профилирует заражённую машину, принимает через него зашифрованные полезные нагрузки и пытается не привлекать внимание средств мониторинга. По оценке Kaspersky, сочетание исполнения в памяти и ML-KEM снижает вероятность обнаружения последующих стадий атаки. Речь не о том, что ML-KEM делает вредоносное ПО «квантовым», а о вполне приземлённой задаче: не дать защитным решениям и исследователям легко перехватить и разобрать доставляемый модуль.
ML-KEM — стандартизированный NIST механизм инкапсуляции ключей. Его создавали как защиту от сценария «собрать данные сейчас, расшифровать позже», когда у атакующего появятся достаточно мощные квантовые средства. В обычной инфраструктуре его внедрение требует инвентаризации криптографии, оценки совместимости и осторожной миграции. Lazarus таких ограничений не испытывает: группировка контролирует обе стороны собственного протокола и может быстро встроить новый алгоритм в закрытый канал управления.
Для разработчиков защитных средств и корпоративных SOC вывод не сводится к необходимости срочно внедрять постквантовые алгоритмы. Важнее научиться видеть поведение вокруг них: запуск fsquirt.exe из нетипичного родительского процесса, сетевые обращения к внешним доменам после визита на фишинговую страницу, загрузки из приватных репозиториев GitHub, аномальные цепочки вокруг INISAFE CrossWeb EX и активность браузерных похитителей данных. Командам реагирования также стоит проверять, могут ли их средства телеметрии фиксировать передачу ключевого материала и отражённую загрузку библиотек в память.
Для бизнеса история о том, что постквантовая криптография Lazarus не отменяет базовую гигиену. Фишинг, доступ к браузерным сессиям, доверие к легитимным утилитам и облачным площадкам остаются входными точками. Но после проникновения разбирать инцидент будет сложнее: сетевой трафик превращается в ещё менее информативный набор зашифрованных сообщений, а вредоносные модули появляются в памяти лишь на короткое время.
Kaspersky относит FlashHole к более широкой активности Cascade Hole и с умеренной или высокой уверенностью связывает её с прежней Operation SyncHole. Следующий вопрос для рынка не в том, начнут ли другие группы копировать конкретную связку ML-KEM, ГОСТ и Threefish, а в том, успеют ли защитные продукты научиться отличать нормальное использование новых криптостандартов от их роли в скрытых каналах доставки вредоносного кода.
