Lazarus grubu, NIST onaylı ML-KEM ile şifrelenmiş kötü amaçlı yazılım dağıtımı kullandı

Kaspersky, Lazarus Grubu'na atfettiği FlashHole kampanyasında Güney Kore'deki en az üç şirketin hedef alındığını ve saldırganların kötü amaçlı yazılım dağıtımında post-kuantum şifreleme yöntemini kullandığını bildirdi.

Kaspersky, Lazarus Grubu'na atfettiği FlashHole operasyonunu açıkladı. Saldırılar Temmuz 2025'te başladı ve Güney Kore'deki kurumları hedef aldı. Hedeflenen kişiler, özel olarak hazırlanmış GitHub sayfalarına yönlendiren oltalama sayfalarıyla karşılaştı.

Bu sayfalar, bellek içinde çalışan bir yürütme zinciri başlatan JavaScript kodu yükledi. Zincir, Güney Kore'nin INISAFE CrossWeb EX güvenlik aracını ve meşru bir Windows dosyasını kullandı; ardından TechHub adlı bir indirici kuruldu. Bu zincirin en dikkat çekici yanı, NIST tarafından onaylanan ML-KEM post-kuantum mekanizmasının kullanılmasıydı. ML-KEM-1024 anahtarları komuta-kontrol sunucusundan LPEClient kötü amaçlı yazılımına iletildi ve bu yazılım sonraki yükleri çözdü.

Kaspersky, yazılım, inşaat ve kablolu iletişim ekipmanı üretimi alanlarında faaliyet gösteren en az üç Güney Kore şirketinin etkilendiğini doğruladı; daha fazla kurumun da etkilenmiş olabileceğinden şüpheleniyor. Son yük, modüler bir arka kapı olan Cubridge'dir ve LPEClient bunu bellek içine yansıtmalı olarak yükler.

Araştırmacılar, FlashHole'u daha geniş Cascade Hole faaliyetleriyle ve daha önce görülen Operation SyncHole ile orta-yüksek güvenle ilişkilendiriyor.