Wprowadzenie do problemu / definicja
Grupa Lazarus została powiązana z kampanią, w której do ochrony procesu dostarczania złośliwego oprogramowania wykorzystano mechanizm kryptografii postkwantowej ML-KEM. To wyraźny sygnał zmiany taktyki: zamiast ograniczać się do klasycznych metod maskowania ładunków, operatorzy wdrożyli nowoczesny mechanizm uzgadniania kluczy, aby utrudnić analizę komunikacji z serwerami dowodzenia, odszyfrowanie kolejnych etapów infekcji oraz wykrycie finalnych komponentów malware.
W skrócie
- Kampania FlashHole jest przypisywana grupie Lazarus i była wymierzona w organizacje z Korei Południowej.
- Łańcuch ataku łączy phishing, fałszywe strony internetowe, nadużycie legalnego oprogramowania bezpieczeństwa oraz wykonanie kodu wyłącznie w pamięci.
- Kluczowym elementem operacji było użycie ML-KEM-1024 do wymiany materiału kryptograficznego między malware a infrastrukturą C2.
- Uzyskane sekrety służyły do odszyfrowania dalszych ładunków, w tym backdoora Cubridge.
- Taka architektura ogranicza widoczność ataku i znacząco utrudnia analizę incydentu.
Kontekst / historia
Najwcześniejsze ślady kampanii sięgają lipca 2025 roku, natomiast jej publiczny opis pojawił się 21 października 2026 roku. Operacja została nazwana FlashHole i jest łączona z wcześniejszą aktywnością Lazarusa określaną jako SyncHole. W nowej odsłonie napastnicy rozbudowali zarówno zestaw narzędzi, jak i sam łańcuch infekcji.
Celem były co najmniej trzy organizacje działające w sektorach oprogramowania, budownictwa oraz produkcji sprzętu telekomunikacyjnego w Korei Południowej. Atakujący wykorzystywali spreparowane strony udające portfolio lub życiorysy zawodowe, co wskazuje na selektywnie prowadzone kampanie spear-phishingowe. Istotnym elementem pozostaje także nadużycie lokalnie popularnego oprogramowania bezpieczeństwa używanego przy dostępie do usług finansowych i administracyjnych.
Analiza techniczna
Początkowy wektor infekcji opierał się na stronach internetowych zawierających zewnętrzny kod JavaScript. Po wejściu ofiary na taką witrynę uruchamiał się łańcuch wykonania powiązany z legalnym narzędziem INISAFE CrossWeb EX. Następnie uruchamiany był prawidłowy plik systemowy fsquirt.exe, do którego wstrzykiwano shellcode zawierający złośliwą bibliotekę DLL identyfikowaną jako TechHub.
TechHub pełnił funkcję downloadera i inicjował dalsze etapy operacji. Po uzyskaniu przyczółka atakujący rozwijali trwałość poprzez kolejne komponenty, w tym TouchHub i TouchShift, wykorzystując technikę DLL side-loading. Następnie wdrażano moduły ClientHub oraz LPEClient, a znaczna część aktywności pozostawała wyłącznie w pamięci operacyjnej, co ograniczało liczbę artefaktów dostępnych na dysku.
Najbardziej charakterystycznym elementem kampanii był moduł LPEClient. Malware pobierał z infrastruktury C2 cztery bloki danych po 1568 bajtów, z których każdy zawierał klucz publiczny ML-KEM-1024. Następnie generowane były współdzielone sekrety i szyfrogramy, które odsyłano do serwera. W komunikacji wykorzystywano również algorytm GOST do zabezpieczenia części wymiany, a odpowiedź z parametrami i plikiem wykonywalnym była odszyfrowywana przy użyciu Threefish z kluczem opartym na wcześniej wynegocjowanych sekretach.
Po odszyfrowaniu LPEClient refleksyjnie ładował finalny payload bezpośrednio do pamięci. Był nim Cubridge, modułowy backdoor oferujący zarządzanie plikami, wykonywanie poleceń, rekonesans, przechwytywanie zrzutów ekranu oraz możliwość ładowania kolejnych komponentów. Badacze zwrócili również uwagę na techniki obchodzenia monitoringu bezpieczeństwa, w tym manipulację ochroną stron pamięci i unikanie bardziej oczywistych wywołań API.
Konsekwencje / ryzyko
Użycie kryptografii postkwantowej w tej kampanii nie oznacza bezpośredniego zagrożenia związanego z komputerami kwantowymi. W praktyce chodzi o zwiększenie odporności złośliwego łańcucha dostarczania malware na analizę, przechwycenie i odszyfrowanie przez obrońców. ML-KEM został zastosowany jako nowoczesny mechanizm uzgadniania kluczy, który utrudnia wgląd w dalsze etapy kampanii.
Dla organizacji oznacza to kilka warstw ryzyka. Kampania korzysta z wiarygodnych przynęt i legalnych procesów systemowych, przez co może ominąć proste mechanizmy reputacyjne. Dominujące wykonanie w pamięci ogranicza skuteczność tradycyjnych rozwiązań AV, a modularna architektura umożliwia elastyczne dostarczanie kolejnych funkcji, od kradzieży danych po pełny backdoor. Dodatkowo nadużycie zaufanego oprogramowania bezpieczeństwa pokazuje, że nawet legalne komponenty biznesowe mogą zostać włączone do łańcucha ataku.
Rekomendacje
Organizacje powinny objąć szczególnym monitoringiem legalne procesy uruchamiane w nietypowym kontekście, zwłaszcza te powiązane z narzędziami bezpieczeństwa, przeglądarkami i komponentami pośredniczącymi. Warto wdrożyć reguły detekcyjne dla uruchamiania fsquirt.exe w niestandardowych scenariuszach, iniekcji kodu do legalnych procesów oraz refleksyjnego ładowania bibliotek i plików PE do pamięci.
Konieczne jest także rozszerzenie telemetrii EDR i XDR o obserwację zachowań in-memory, side-loadingu DLL, tworzenia oraz modyfikacji współdzielonych buforów pamięci, a także anomalii w relacjach rodzic–dziecko procesów. W środowiskach o podwyższonym ryzyku należy ograniczyć możliwość wykonywania niepodpisanych modułów oraz lepiej kontrolować skrypty ładowane z zewnętrznych domen.
Po stronie użytkowników i SOC istotne pozostają szkolenia z rozpoznawania spreparowanych stron rekrutacyjnych i ofert biznesowych, analiza linków otrzymywanych w wiadomościach spear-phishingowych, sandboxing odwiedzanych zasobów oraz segmentacja stacji roboczych mających dostęp do krytycznych systemów. Zalecane jest również przeglądanie lokalnie używanych narzędzi bezpieczeństwa pod kątem znanych scenariuszy nadużycia oraz walidacja, czy nie uruchamiają procesów potomnych w sposób odbiegający od normy.
Podsumowanie
Kampania FlashHole pokazuje, że zaawansowane grupy APT rozwijają nie tylko malware i infrastrukturę C2, lecz także adaptują współczesne standardy kryptograficzne do ochrony własnych operacji. W tym przypadku kryptografia postkwantowa została użyta pragmatycznie: nie do ataku na zabezpieczenia ofiary, ale do ochrony dostarczania kolejnych ładunków i utrudnienia ich analizy. To sygnał, że zespoły obronne powinny coraz mocniej koncentrować się na korelacji zachowań, analizie pamięci, nadużyciu zaufanych procesów oraz wykrywaniu niestandardowych łańcuchów wykonania.