De Noord-Koreaanse hackersgroep Lazarus gebruikt post-quantum cryptografie om malware af te schermen in een campagne die beveiligingsbedrijf Kaspersky FlashHole noemt. De campagne loopt sinds juli 2025 en maakt onderdeel uit van de bredere Cascade Hole-activiteit, die Kaspersky met middelhoge tot hoge zekerheid koppelt aan de eerder gedocumenteerde Operation SyncHole.
De infectieketen begint bij phishingpagina’s die slachtoffers naar speciaal opgezette GitHub-pagina’s leiden. Die pagina’s laden JavaScript van externe domeinen en starten een keten die volledig in het geheugen draait. Daarbij wordt het Zuid-Koreaanse beveiligingsprogramma INISAFE CrossWeb EX misbruikt om het legitieme Windows-onderdeel fsquirt.exe uit te voeren. Dat bestand draait shellcode die de downloader TechHub installeert, die vervolgens malware ophaalt uit privé-GitHub-repositories. Via de loader ClientHub, die ook met Dropbox kan werken, bereiken de payloads het profileringsprogramma LPEClient, dat eerder al aan Lazarus is gekoppeld. Uiteindelijk wordt de modulaire backdoor Cubridge in het geheugen geladen, die bestanden beheert, commando’s uitvoert, reconnaissance doet, screenshots maakt en extra payloads laadt. Losse tools richten zich daarnaast op Chromium-browsers om inloggegevens, cookies en browsegeschiedenis te stelen.
Opvallend is het gebruik van ML-KEM-1024, een door NIST goedgekeurde standaard voor post-quantum sleuteluitwisseling. Die standaard is bedoeld om toekomstige versleuteling te beschermen tegen aanvallers die nu versleuteld verkeer opslaan om het later, met een quantumcomputer, te ontsleutelen. Lazarus zet de techniek hier juist in om eigen payloads te verbergen. LPEClient haalt van de command-and-control-server vier blokken van 1.568 bytes op, elk een ML-KEM-1024-publieke sleutel, en genereert daarmee vier paren gedeelde sleutels en ciphertexts. Die ciphertexts gaan, versleuteld met het GOST-algoritme, via ClientHub terug naar de C2-server. De gedeelde geheimen leveren op hun beurt sleutelmateriaal voor het Threefish-algoritme, waarmee de uiteindelijke respons met parameters en een uitvoerbaar bestand wordt ontsleuteld. Kaspersky stelt dat deze combinatie, samen met de uitvoering in het geheugen, het detectierisico tot een minimum beperkt.
Kaspersky identificeerde minstens drie getroffen bedrijven in Zuid-Korea, actief in software, bouw en de productie van bekabelde communicatieapparatuur. Het bedrijf vermoedt dat het werkelijke aantal slachtoffers hoger ligt. Concrete indicatoren van compromittering, zoals hashes of domeinnamen, staan niet in het nieuwsbericht zelf maar in het bijbehorende technische rapport op Securelist.
Voor Nederlandse organisaties is dit vooral een signaal dat post-quantum cryptografie, bedoeld als verdediging tegen toekomstige quantumcomputers, nu ook door statelijke actoren wordt ingezet als aanvalsmiddel. Het gebruik van gewone GitHub-repositories en Dropbox als verspreidingskanaal onderstreept dat detectie op gedrag en netwerkverkeer belangrijker wordt dan het simpelweg blokkeren van bekende kwaadaardige bestanden.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Gebruikt uw organisatie dreigingsdetectie die vooral op bekende malware-hashes draait? Deze campagne laat zien dat gedrags- en netwerkmonitoring steeds belangrijker worden, ook tegen statelijke actoren.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.