هکرهای لازاروس از رمزنگاری پس کوانتومی برای ارسال بدافزار استفاده می کنند

هکرهای کره شمالی از مکانیزم رمزنگاری پس کوانتومی برای ایمن سازی تحویل محموله مخرب در عملیات های جدید که بدافزار قدیمی و جدید را ترکیب می کند، استفاده می کنند.

این کمپین سازمان‌های کره جنوبی را از طریق یک زنجیره عفونت «نسبتا پیچیده» هدف قرار می‌دهد. محققان شرکت امنیت سایبری کسپرسکی این عملیات را FlashHole نامگذاری کردند و آن را به گروه لازاروس نسبت دادند.

تجزیه و تحلیل بدافزار نشان داد که عامل تهدید از مکانیزم رمزنگاری پس کوانتومی استاندارد شده ML-KEM برای برقراری ارتباط با سرور فرمان و کنترل (C2) برای تحویل بدافزار استفاده می‌کند.

Kaspersky می‌گوید مهاجمان از بدافزار LPEClient که قبلا با Lazarus مرتبط بود، برای دریافت کلیدهای عمومی ML-KEM-1024 از زیرساخت C2 خود و تولید کلیدهای مشترک استفاده کردند که به آن اجازه می‌داد تا بارهای دریافتی بعدی را رمزگشایی کند.

به گفته محققان، این حملات در ژوئیه 2025 آغاز شد و به صفحات فیشینگ متکی بود که اهداف را به صفحات GitHub ساخته شده هدایت می کردند.

این صفحات کد جاوا اسکریپت را از دامنه های خارجی بارگیری می کنند و یک زنجیره اجرایی در حافظه را راه اندازی می کنند که شامل INISAFE CrossWeb EX، یک ابزار امنیتی محبوب در کره جنوبی است.

فرآیند ابزار امنیتی، fsquirt.exe باینری قانونی ویندوز را اجرا کرد، که برای اجرای پوسته‌کد که TechHub را نصب می‌کرد، دانلودکننده‌ای که مسئول بازیابی بدافزارهای اضافی از مخازن خصوصی GitHub بود، استفاده می‌شد.

کسپرسکی حداقل سه شرکت در کره جنوبی را در بخش‌های تولید نرم‌افزار، ساخت و ساز و تجهیزات ارتباطی سیمی شناسایی کرد، اما گمان می‌کند که سازمان‌های بیشتری تحت تأثیر قرار گرفته‌اند.

ابزار جدیدی که در این حملات دیده می شود، ClientHub است، لودری که از ارتباطات Dropbox و همچنین تبادل مستقیم داده با LPEClient پشتیبانی می کند.

محققان خاطرنشان می کنند که LPEClient قربانیان را نمایه می کند، بارهای رمزگذاری شده را از طریق ClientHub دریافت می کند و از نظارت امنیتی فرار می کند.

بدافزار دیگری که در این حملات مشاهده شده، Cubridge است، یک درب پشتی ماژولار که مدیریت فایل، اجرای فرمان، و قابلیت های شناسایی را فراهم می کند و همچنین از گرفتن اسکرین شات و بارگذاری بارهای اضافی بر روی سیستم های آلوده پشتیبانی می کند.

محققان خاطرنشان می‌کنند که بیشتر کد لازاروس در حافظه اجرا می‌شود، اگرچه مکانیسم‌های ماندگاری برخی از فایل‌ها را روی دیسک قربانی باقی می‌گذارند.

استفاده از مکانیزم رمزنگاری پس کوانتومی ML-KEM در عملیات FlashHole برجسته است، زیرا این یک استاندارد مورد تایید NIST است که در پروژه های نرم افزاری متعدد به عنوان راهی برای محافظت از داده ها در برابر حملات "هک اکنون رمزگشایی بعدی" وجود دارد.

تجزیه و تحلیل فنی نشان داد که LPEClient از C2 "یک آرایه بایت شامل چهار بلوک 1568 بایتی" به دست آمده است، که هر کدام حاوی یک کلید عمومی ML-KEM-1024 است.

کسپرسکی توضیح می‌دهد: «سپس LPEClient چهار جفت کلید مشترک و متن رمزی را از این بلوک‌ها تولید می‌کند، متن‌های رمزی را با الگوریتم GOST رمزگذاری می‌کند و آنها را از طریق ClientHub به سرور C2 منتقل می‌کند.

اسرار مشترک، مواد کلیدی را برای Threefish، یک الگوریتم رمزگذاری دیگر، که پاسخ حاوی پارامترها و یک بار اجرایی را رمزگشایی می کند، فراهم می کند.

محموله نهایی Cubridge است که LPEClient به صورت انعکاسی در حافظه میزبان بارگیری می کند.

کسپرسکی معتقد است که Lazarus از این روش به همراه زنجیره اجرای درون حافظه برای کاهش خطر شناسایی به حداقل ممکن استفاده می کند.

کسپرسکی می‌گوید: «استفاده از رمزنگاری پس کوانتومی نشان می‌دهد که این گروه قصد دارد محموله‌های بعدی را پنهان کند.

محققان کسپرسکی FlashHole را در فعالیت گسترده‌تر Cascade Hole قرار می‌دهند و آن را با اطمینان متوسط ​​به بالا به عملیات SyncHole قبلی مرتبط می‌کنند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

FBI به مزارع لپ تاپ کارگر فناوری اطلاعات کره شمالی در تگزاس یورش برد، شهروندان آمریکایی دستگیر شدند

ClickFix هرگز بزرگتر از این نبوده است و ابزارهای هوش مصنوعی متقاعد کننده ترین فریب تاکنون آن هستند

OVHcloud CLI به صورت پشتی در GitHub منتشر می شود تا اسرار توسعه دهندگان را بدزدد

هکرها سرورهای به روز رسانی AOMEI را ربودند تا مخفیانه بدافزار را منتشر کنند

تبلیغات هدفمند، جاسوس افزار Candiru را در حملات صفر کلیک نصب کردند