Il gruppo di hacker nordcoreani Lazarus ha introdotto una nuova catena di infezione che sfrutta la crittografia ML‑KEM, standard NIST, per consegnare payload in modo quasi invisibile. L’analisi di Kaspersky rivela un complesso meccanismo di phishing, download e esecuzione in memoria.
Il Lazarus Group, noto per le sue operazioni di cyber‑espionage e sabotaggio, ha lanciato l’attacco denominato FlashHole a partire da luglio 2025. L’obiettivo è stato quello di compromettere organizzazioni sudcoreane nei settori software, costruzione e produzione di apparecchiature di comunicazione. Kaspersky ha identificato almeno tre vittime, ma il numero reale potrebbe essere molto più elevato.
Il punto di forza di FlashHole è l’impiego del ML‑KEM, un algoritmo di crittografia post‑quantistica approvato da NIST. LPEClient riceve quattro blocchi di 1.568 byte contenenti chiavi pubbliche ML‑KEM‑1024. Da questi blocchi vengono generate quattro coppie di chiavi condivise e ciphertext, che vengono poi cifrati con GOST e trasmessi al C2 tramite ClientHub.
Il segreto condiviso alimenta Threefish, un altro algoritmo di cifratura, che decifra i parametri e il payload finale. L’approccio “hack‑now‑decrypt‑later” garantisce che i dati rimangano protetti fino al momento in cui l’attaccante abbia accesso al sistema target.
Kaspersky colloca FlashHole all’interno dell’attività più ampia Cascade Hole e lo collega a SyncHole, un’operazione precedente con una confidenza media‑alta. Questo indica una strategia evolutiva e coerente da parte di Lazarus, con l’adozione di tecniche di crittografia avanzata per migliorare l’efficacia delle loro operazioni.
FlashHole dimostra che i gruppi APT stanno già adottando tecnologie di crittografia post‑quantistica per proteggere i loro payload. L’approccio combinato di phishing, download da repository privati e esecuzione in memoria crea un modello di attacco altamente sofisticato. Le organizzazioni, soprattutto in Corea del Sud, dovrebbero rivedere le proprie linee di difesa, concentrandosi su rilevamento di attività sospette nei processi di rete e su soluzioni di sicurezza che supportino la crittografia ML‑KEM.
Parole chiave: Lazarus Group, ML‑KEM, post‑quantum cryptography, C2, phishing, TechHub, ClientHub, LPEClient, Cubridge, Threefish, GOST
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
