کارشناسان امنیتی هشدار می دهند که هکرهای کره شمالی نه تنها از هوش مصنوعی در کمپین های جدید خود استفاده می کنند، بلکه از رمزگذاری «پسا کوانتومی» نیز استفاده می کنند.

کسپرسکی می گوید عملیات FlashHole لازاروس که حداقل از ژوئیه 2025 فعال است، حداقل به سه شرکت نرم افزاری، ساخت و ساز و تجهیزات مخابراتی کره جنوبی ضربه زده است.

یک ابزار به روز LPEClient از چهار مبادله کلید ML-KEM-1024 برای محافظت از تحویل بار استفاده می کند، یک Check Point طراحی نیز مستند شده است.

لایه پس کوانتومی از ترافیک در برابر رمزگشایی آینده محافظت می کند، نه تشخیص نقطه پایانی، و محتمل ترین راه برای هکرها همچنان فیشینگ بود. بدنام ترین گروه هکر کره شمالی در حال محافظت از بدافزار خود با همان رمزنگاری پس کوانتومی که دولت ها و شرکت های فناوری هنوز برای محافظت از داده های خود در حال گسترش هستند، دستگیر شده است.

تیم تحقیق و تحلیل جهانی کسپرسکی (GReAT) در تجزیه و تحلیل کمپینی به نام Operation FlashHole می گوید که نسخه به روز شده LPEClient، یک ابزار گروه Lazarus، اکنون از ML-KEM-1024، مکانیزم تبادل کلید طراحی شده برای مقاومت در برابر حملات رایانه های کوانتومی آینده، استفاده می کند تا کانالی را که برای دانلود بدافزارهای بیشتر استفاده می کند، ایمن کند.

این یافته‌ها کمپینی را توصیف می‌کند که حداقل از ژوئیه 2025 تاکنون حداقل سه سازمان کره جنوبی را در بخش‌های نرم‌افزار، ساخت‌وساز و تولید تجهیزات ارتباطی سیمی تحت تأثیر قرار داده است.

یک رزومه جعلی متناسب با هوش مصنوعی، یک افزونه اجباری، و رمزگذاری مقاوم در برابر کوانتومی

راه ورود آشنا بود: کسپرسکی یک سایت GitHub Pages را پیدا کرد که به یک حساب GitHub متصل شده بود که در سپتامبر 2025 ایجاد شد و مهاجمان از آن برای فرماندهی و کنترل استفاده می کردند. این سایت ابتدا رزومه یک توسعه‌دهنده لوازم شبکه را نشان داد که احتمالا توسط یکی از کارمندان سازنده تجهیزات ارتباطی دیده شده بود، قبل از اینکه مهاجمان آن را در ژانویه 2026 با یک ویترین طراحی داخلی که احتمالا شرکت ساختمانی را هدف قرار می‌داد تعویض کنند.

کسپرسکی با اطمینان متوسط ​​به بالا ارزیابی می‌کند که اهداف ایمیل‌های فیشینگ نیزه‌ای را دریافت کرده‌اند که به این سایت‌ها پیوند داده شده‌اند، که جاوا اسکریپت را از دامنه‌های کنترل‌شده توسط مهاجم بارگیری می‌کنند، اگرچه نمی‌تواند دقیقا تعیین کند که چه چیزی باعث عفونت شده است.

از آنجا، این زنجیره از طریق INISAFE CrossWeb EX، نرم افزار امنیت مالی که کره جنوبی برای استفاده از بسیاری از وب سایت های بانکی آنلاین و دولتی به آن نیاز دارند، عبور کرد. نحوه سوء استفاده از آن مشخص نیست، اما این بدافزار در نهایت با امتیازات بالا در حافظه اجرا شد که توسط یک ساخت CrossWeb EX منتشر شد که در سال 2023 پس از مشاوره عمومی از KrCERT کره جنوبی منتشر شد.

این مسیری است که به خوبی پیموده شده است. کسپرسکی می‌گوید لازاروس در سال‌های 2021، 2022 و 2023 از CrossWeb EX سوء استفاده کرد و در Operation SyncHole، که در آوریل 2025 فاش شد، از Cross EX، یک برنامه مرتبط، برای به خطر انداختن حداقل شش سازمان استفاده کرد، و ما همچنین در مورد سوء استفاده گروه از یک ابزار zero-day در Korean4 در Magicenine، گزارش دادیم.

کسپرسکی معتقد است که عکس موجود در سایت رزومه توسط هوش مصنوعی ایجاد شده است و به متادیتای EXIF ​​گم شده و بافتی غیرطبیعی استناد می‌کند، و هوش مصنوعی به احتمال زیاد سایت را نیز ساخته است، با توجه به نام نامزدی مشابه کره‌ای «جان دو» و مجموعه‌ای پر از جزئیات پرکننده و شرکت‌های نامرتبط.

اوجون ریو، محقق ارشد امنیتی در Kaspersky GreAT، گفت که یافته‌ها نشان می‌دهد که لازاروس «هوش مصنوعی را به کتاب بازی قدیمی‌اش وارد می‌کند»، تغییری که کسپرسکی در میان سایر گروه‌های همسو با لازاروس نیز دیده است. این با الگوی گسترده‌تری مطابقت دارد، از استفاده کیمسوکی از ChatGPT برای جعل شناسه نظامی کره جنوبی تا کارکنان فناوری اطلاعات کره شمالی که از هوش مصنوعی مولد برای استخدام در شرکت‌های غربی استفاده می‌کنند.

تغییر چشمگیرتر در LPEClient است، یک ابزار پروفایل و تحویل بار که برای اولین بار در سال 2019 ظاهر شد. نسخه جدید دیگر آدرس سرور خود را ذخیره نمی کند. درعوض، ترافیک را از طریق ClientHub، یک لودر تازه کشف شده با گونه‌ای که از طریق Dropbox با اپراتورهایش صحبت می‌کند، انتقال می‌دهد. محصولات امنیتی نصب شده و سطح وصله ویندوز را نمایه می‌کند، اکنون همچنین بررسی می‌کند که آیا محافظت‌هایی مانند Shadow Stack فعال هستند یا خیر، و آن گزارش‌ها را با GOST، استاندارد ملی رمزگذاری روسیه رمزگذاری می‌کند.

(اعتبار تصویر: Prexels) یک گروه هکر آگاه از امنیت؟

سپس بخش پس کوانتومی معادله می آید. سرور چهار کلید عمومی ML-KEM-1024 را ارسال می‌کند، LPEClient چهار راز مشترک را از آنها استخراج می‌کند، و آن‌ها در یک کلید 128 بایتی برای Threefish ترکیب می‌شوند. آن کلید محموله بعدی را رمزگشایی می کند که مستقیما در حافظه بارگذاری می شود.

ML-KEM-1024 قوی‌ترین مجموعه از سه مجموعه پارامتر در استاندارد FIPS 203 NIST است، و مجموعه‌ای که NSA برای استقرار کلید تحت CNSA 2.0، مجموعه الگوریتم آن برای سیستم‌های امنیت ملی ایالات متحده، مشخص می‌کند. گزارش کسپرسکی با طنز اشاره می کند که به نظر می رسد این گروه "سریعتر از بسیاری از محصولات امنیتی قانونی، رمزنگاری پس کوانتومی ایمن تر را اتخاذ کرده است."

ریو گفت که بخشی که "شایسته توجه بیشتر" است، "پذیرش رمزنگاری طراحی شده برای مقاومت در برابر تهدیدات کوانتومی آینده" است که کسپرسکی آن را حداقل به سپتامبر 2024 ردیابی می کند.

کسپرسکی هم اولین کسی نیست که به این موضوع پی برده است. در آگوست 2026، Check Point Research یک ماژول را در یک موج Dream Job جداگانه علیه شرکت‌های دفاعی توصیف کرد که چهار کلید عمومی را از سرور خود دریافت کرده و از Kyber/ML-KEM برای توافق بر روی کلیدی برای دانلود FudModule، یک روت کیت که از ویندوز روز صفر CVE-2026-68820 استفاده می‌کند، استفاده می‌کند. کسپرسکی این ماژول را به عنوان LPEClient معرفی می کند و این کمپین در آن زمان پوشش گسترده ای دریافت کرد.

هیچ رایانه کوانتومی شناخته شده عمومی هنوز نمی تواند تبادل کلیدهای کلاسیک را که از بیشتر ترافیک اینترنت محافظت می کند، بشکند، بنابراین ML-KEM فقط در صورتی به Lazarus برتری می دهد که شخصی ترافیک آن را امروز ثبت کند و زمانی که چنین ماشینی وجود داشته باشد، آن را رمزگشایی کند - سناریوی "درآورید اکنون، بعدا رمزگشایی" که باعث مهاجرت غیرنظامیان می شود.

برای یک عملیات جاسوسی دولتی که مخالفان آن سازمان‌های اطلاعاتی با بودجه خوبی هستند، حفظ ابزار آن در برابر این احتمال، انتخابی منطقی، اگر آینده‌نگر باشد، است. برداشت خود کسپرسکی این است که گروه می‌خواهد محموله‌های مرحله بعدی خود را پنهان کند.

با این حال، بدافزار را در جایی که اجرا می کند پنهان نمی کند. لایه پس کوانتومی از داده ها در حین انتقال محافظت می کند و تجزیه و تحلیل کسپرسکی از بدافزار خود کل تبادل را آشکار کرد. Kaspersky می‌گوید که کار به یک توسعه‌دهنده اختصاصی اشاره می‌کند، و بقیه جعبه ابزار از این دیدگاه پشتیبانی می‌کند: ClientHub از رمز جریان SNOW استفاده می‌کند، اولین مورد برای Lazarus طبق گفته Kaspersky، و هدرهای ارسال شده توسط مرورگرهای مبتنی بر Chromium را برای ترکیب کردن کپی می‌کند.

کسپرسکی معتقد است تمرکز بر شرکت‌های نرم‌افزاری، تنها بخش ضربه‌خورده در SyncHole و FlashHole، نشان‌دهنده تمایل به کد منبعی است که می‌تواند برای آسیب‌پذیری‌های جدید استخراج شود. همچنین جاسوسی FlashHole را از یک خوشه موازی از حملات ساخته شده بر روی درب پشتی COPPERHEDGE Lazarus که به نظر می رسد برای کسب درآمد باشد متمایز می کند.

برای مدافعان احتمالی، درس به جای رمزنگاری، تحویل است: یک رزومه جعلی متقاعد کننده و یک افزونه امنیتی قابل اعتماد. توصیه کسپرسکی که محصولات خود را نیز تبلیغ می‌کند، تأیید پیوندهای غیرمنتظره را حتی زمانی که به سایت‌های حرفه‌ای صیقلی منتهی می‌شود، وصله سریع، حذف اجزای غیر ضروری، محدود کردن امتیازات کاربر، و تماشای اتصالات به سرویس‌های ابری مانند GitHub و Dropbox را پوشش می‌دهد که می‌توانند به عنوان کانال‌های فرمان دوبل شوند.

از آنجایی که لایه پس کوانتومی کاری برای مخفی کردن آنچه بدافزار بر روی خود دستگاه انجام می‌دهد، انجام نمی‌دهد، نرم‌افزار محافظت از نقطه پایانی توانا مکان واقعی برای دستگیری آن باقی می‌ماند. با این حال، باید دید که آیا رویکرد جدید به کمک هوش مصنوعی آن یک تغییر دهنده بازی است یا خیر.