Hackersgroep Lazarus gebruikt Post-Quantum Cryptography om malware-payloads te verbergen. Kaspersky ontdekte dat in Operation FlashHole, een campagne tegen Zuid-Koreaanse bedrijven die sinds juli 2025 loopt. De aanvallers zetten de NIST-standaard ML-KEM-1024 in om de communicatie met hun C2-servers af te schermen.
Het gaat om de malware LPEClient, die al langer met Lazarus in verband wordt gebracht. Die ontvangt ML-KEM-1024 public keys van de command-and-control-infrastructuur en genereert daarmee gedeelde sleutels. Daarmee ontsleutelt de malware de payloads die daarna binnenkomen. Kaspersky heeft minstens drie getroffen bedrijven in Zuid-Korea gevonden, actief in software, de bouw en de productie van bekabelde communicatieapparatuur. Maar volgens de onderzoekers zijn er waarschijnlijk veel meer slachtoffers.
Opvallend is de keuze voor ML-KEM. Het mechanisme is een door NIST goedgekeurde standaard die in allerlei softwareprojecten zit om data te beschermen tegen ‘hack now, decrypt later’-aanvallen. Nu gebruikt een aanvaller het dus om zijn eigen sporen te verbergen.
Van phishing naar geheugen
De aanval begint met phishingpagina’s die slachtoffers naar speciaal opgezette GitHub-pagina’s sturen. Die laden JavaScript van externe domeinen, waarna een uitvoeringsketen in het geheugen start. Daarbij speelt INISAFE CrossWeb EX een rol, een securitytool die in Zuid-Korea veel wordt gebruikt. Het proces van die tool start het legitieme Windows-bestand fsquirt.exe, dat shellcode uitvoert. Die shellcode installeert TechHub, een downloader die extra malware uit private GitHub-repositories binnenhaalt.
Kaspersky trof ook ClientHub aan, een nieuwe loader die via Dropbox communiceert en direct data uitwisselt met LPEClient. LPEClient profileert slachtoffers, ontvangt versleutelde payloads via ClientHub en ontwijkt securitymonitoring.
Technisch is het een gelaagd geheel. LPEClient krijgt van de C2-server een byte-array met vier blokken van 1.568 bytes, elk met een ML-KEM-1024 public key. Daaruit maakt de malware vier paren van gedeelde sleutels en ciphertexts. De ciphertexts worden versleuteld met het GOST-algoritme en via ClientHub teruggestuurd. De gedeelde geheimen leveren vervolgens sleutelmateriaal voor Threefish, dat het antwoord met parameters en een uitvoerbare payload ontsleutelt.
Die payload is Cubridge: een modulaire backdoor voor bestandsbeheer, het uitvoeren van commando’s, verkenning, screenshots en het laden van extra payloads. LPEClient laadt Cubridge reflectief in het geheugen. Daarnaast zag Kaspersky tools die inloggegevens, cookies en browsegeschiedenis uit Chromium-browsers stelen. “Het gebruik van post-quantum cryptografie laat zien dat de groep van plan is volgende payloads te verbergen”, aldus Kaspersky.
Tip: Data security is een illusie zonder ijzersterk IT-fundament