Хакеры Lazarus начали защищать вредоносы постквантовым шифрованием

Северокорейская группировка Lazarus провела новую шпионскую кампанию с ИИ и постквантовой криптографией. Об этом рассказала «Лаборатория Касперского».

Кампания получила название Operation FlashHole. По данным исследователей Kaspersky GReAT, она идёт как минимум с июля 2025 года и затронула не менее трёх организаций в Южной Корее: строительную компанию, разработчика ПО и производителя оборудования для проводной связи. Результаты представили на конференции Security Analyst Summit 2026.

Атака начиналась с фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, подогнанные под конкретного получателя. Один такой сайт нашли на GitHub Pages: на нём лежало резюме якобы опытного разработчика сетевого оборудования, а фото «соискателя» было сгенерировано нейросетью. Связанный с ним аккаунт GitHub, созданный в сентябре 2025 года, хакеры заодно использовали как канал управления. Исследователи предполагают, что ИИ помогал и подгонять сайты под цели.

Посещение сайта, по оценке экспертов, с высокой вероятностью запускало заражение через CrossWeb EX. Это легитимная программа для защиты финансовых операций, без которой в Южной Корее не пройти веб-аутентификацию на сайтах большинства банков и госучреждений. Предположительно, злоумышленники воспользовались уязвимостью в ней.

В атаках нашли два ранее не описанных инструмента, TouchHub и ClientHub. Они устанавливают дополнительное вредоносное ПО, выполняют команды на заражённых устройствах и поддерживают связь с атакующими, одна из версий для этого использует Dropbox. Обновлённый загрузчик LPEClient собирает сведения о системе и установленных средствах защиты, сжимает и шифрует их перед отправкой, а также пытается обходить мониторинг антивирусов.

Для соединения с сервером атакующих LPEClient применяет ML-KEM-1024. Это постквантовый алгоритм обмена ключами, рассчитанный на защиту от взлома будущими квантовыми компьютерами. После установки защищённого канала программа загружает и запускает другие вредоносные модули прямо в памяти, не записывая их на диск. По данным компании, такую криптографию группировка использует как минимум с сентября 2024 года.

«Группировка также начинает интегрировать искусственный интеллект в свои давно сложившиеся тактики», — отметил старший исследователь Kaspersky GReAT Соджун Рю.