Hackers norte-coreanos estão usando um mecanismo de encapsulamento de chaves pós-quânticas para proteger a entrega de payloads maliciosos em novas operações que combinam malware antigo e recente.
A campanha tem como alvo organizações sul-coreanas e utiliza uma cadeia de infecção “bastante complexa”. Pesquisadores da empresa de cibersegurança Kaspersky batizaram a operação de FlashHole e a atribuíram ao grupo Lazarus.
A análise do malware revelou que o grupo usou o mecanismo padronizado de encapsulamento de chaves pós-quânticas ML-KEM para se comunicar com o servidor C2 e entregar malware.
Segundo a Kaspersky, os invasores usaram o malware LPEClient, já associado ao Lazarus, para receber chaves públicas ML-KEM-1024 da infraestrutura C2 e derivar segredos compartilhados usados para descriptografar os payloads recebidos em seguida.
De acordo com os pesquisadores, os ataques começaram em julho de 2025 e recorreram a páginas de phishing que direcionavam as vítimas a páginas do GitHub criadas especialmente para a operação.
Essas páginas carregavam código JavaScript de domínios externos e iniciavam uma cadeia de execução em memória que envolvia o INISAFE CrossWeb EX, uma ferramenta de segurança popular na Coreia do Sul.
O processo da ferramenta executava o arquivo legítimo do Windows fsquirt.exe, usado para rodar shellcode e instalar o TechHub. Esse programa de download buscava malware adicional em repositórios privados do GitHub.
A Kaspersky identificou pelo menos três empresas sul-coreanas afetadas, dos setores de software, construção e fabricação de equipamentos de comunicação cabeada. A empresa suspeita, porém, que muitas outras organizações tenham sido atingidas.
Outra ferramenta nova observada nos ataques é o ClientHub, um loader compatível com comunicações via Dropbox e com a troca direta de dados com o LPEClient.
Os pesquisadores afirmam que o LPEClient traça o perfil das vítimas, recebe payloads criptografados pelo ClientHub e evita o monitoramento de segurança.
Outro malware encontrado nos ataques é o Cubridge, um backdoor modular com recursos de gerenciamento de arquivos, execução de comandos e reconhecimento. Ele também pode capturar telas e carregar payloads adicionais nos sistemas infectados.
A Kaspersky identificou ainda outras ferramentas voltadas à obtenção de credenciais de contas, cookies e históricos de navegação em navegadores baseados no Chromium.
Os pesquisadores observam que a maior parte do código do Lazarus é executada em memória, embora mecanismos de persistência deixem alguns arquivos nos discos das vítimas.
O uso do mecanismo de encapsulamento de chaves pós-quânticas ML-KEM se destaca na operação FlashHole. O padrão, aprovado pelo NIST, está presente em vários projetos de software e protege dados contra ataques do tipo “roube agora, descriptografe depois”.
A análise técnica mostrou que o LPEClient recebeu do servidor C2 “uma matriz de bytes composta por quatro blocos de 1.568 bytes”, cada um contendo uma chave pública ML-KEM-1024.
“Em seguida, o LPEClient gera quatro pares distintos de segredos compartilhados e textos cifrados a partir desses blocos, criptografa os textos cifrados com o algoritmo GOST e os transmite ao servidor C2 pelo ClientHub”, explica a Kaspersky.
Os segredos compartilhados fornecem o material criptográfico para o Threefish, outro algoritmo de criptografia, que descriptografa a resposta contendo parâmetros e um payload executável.
O payload final é o Cubridge, que o LPEClient carrega de forma reflexiva na memória do sistema.
A Kaspersky acredita que o Lazarus use esse método, combinado com uma cadeia de execução em memória, para reduzir ao mínimo o risco de detecção.
“O uso de criptografia pós-quântica mostra que o grupo pretende ocultar os payloads subsequentes”, afirma a Kaspersky.
Os pesquisadores da empresa situam a FlashHole no contexto mais amplo da atividade Cascade Hole e a vinculam à operação anterior SyncHole com confiança de média a alta.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...