Lazarus innova le tecniche malware con la crittografia post-quantistica

Il gruppo di hacker Lazarus, collegato alla Corea del Nord, sta adottando tecniche crittografiche avanzate per rendere più difficile l’analisi delle proprie attività malevole.

La campagna, denominata FlashHole dai ricercatori di Kaspersky, prende di mira organizzazioni sudcoreane e combina strumenti conosciuti con componenti sviluppati per nuove modalità di compromissione. L’aspetto più significativo riguarda l’impiego della crittografia post-quantistica nella distribuzione dei payload, ovvero i componenti dannosi eseguiti sui sistemi compromessi.

Questa scelta evidenzia come le tecnologie progettate per rafforzare la sicurezza delle comunicazioni possano essere sfruttate anche in contesti criminali. L’analisi pubblicata da BleepingComputer descrive una catena d’infezione articolata, nella quale ogni componente svolge una funzione specifica.

Come funziona la campagna FlashHole

Secondo l’indagine di Kaspersky, le operazioni sono iniziate nel luglio 2025 e sfruttano pagine di phishing che indirizzano le vittime verso pagine GitHub appositamente predisposte.

Da queste risorse viene caricato codice JavaScript proveniente da domini esterni, avviando una sequenza di esecuzione in memoria che coinvolge INISAFE CrossWeb EX, uno strumento di sicurezza diffuso nel mercato sudcoreano.

Il processo legittimo di Windows fsquirt.exe viene quindi utilizzato per eseguire shellcode, cioè istruzioni dannose eseguite direttamente dal sistema. Questo passaggio permette di installare TechHub, un downloader incaricato di recuperare ulteriori componenti da repository GitHub privati. I ricercatori hanno individuato almeno tre aziende interessate, attive nei settori del software, delle costruzioni e della produzione di apparecchiature per le comunicazioni cablate. La portata effettiva dell’operazione potrebbe essere superiore, perché l’analisi non consente di stabilire con certezza quante altre realtà siano state coinvolte.

Tra gli strumenti osservati figura ClientHub, un loader che supporta le comunicazioni tramite Dropbox e lo scambio diretto di dati con LPEClient. Quest’ultimo raccoglie informazioni sui sistemi bersaglio e gestisce la ricezione di contenuti cifrati. La catena comprende inoltre Cubridge, una backdoor modulare capace di gestire file, eseguire comandi, raccogliere informazioni e acquisire schermate. Sono stati rilevati anche strumenti destinati a sottrarre credenziali, cookie e cronologia dai browser basati su Chromium. La combinazione di queste funzionalità amplia le possibilità operative degli aggressori.

Il ruolo della crittografia post-quantistica

L’elemento tecnico distintivo è ML-KEM, un meccanismo standardizzato per stabilire chiavi crittografiche condivise, progettato per resistere anche alle minacce associate ai futuri computer quantistici. La sua presenza nell’operazione mostra come un sistema concepito per proteggere le comunicazioni possa diventare parte dell’infrastruttura di un attacco.

LPEClient riceve dal server di comando e controllo chiavi pubbliche ML-KEM-1024 e genera materiale crittografico utilizzato nella successiva decifratura dei payload. I dati elaborati vengono trasmessi attraverso ClientHub, mentre gli algoritmi GOST e Threefish intervengono nelle diverse fasi di cifratura e recupero delle informazioni necessarie per ottenere il contenuto eseguibile.

Il payload finale identificato dagli analisti è Cubridge, caricato nella memoria del sistema compromesso. Questa modalità, insieme all’esecuzione prevalentemente in memoria, può ridurre le tracce lasciate sul disco e complicare l’individuazione delle attività sospette. Alcuni meccanismi di persistenza, tuttavia, continuano a produrre file locali.

Kaspersky collega inoltre FlashHole a un contesto operativo più ampio, denominato Cascade Hole, e rileva analogie con la precedente Operation SyncHole. L’attribuzione si basa sull’analisi tecnica degli strumenti e delle attività osservate, non soltanto sulla presenza di una singola caratteristica.

La vicenda sottolinea una trasformazione importante nella sicurezza informatica: l’innovazione crittografica non determina da sola se una tecnologia venga impiegata per proteggere o attaccare. Per valutare il rischio, diventa quindi essenziale considerare il comportamento complessivo dei programmi, le relazioni tra i processi e i segnali che emergono durante l’esecuzione, anziché affidarsi esclusivamente alla reputazione dei singoli strumenti.