Lazarus, vinculados a Corea del Norte, están utilizando criptografía post-cuántica en una cadena de entrega de malware para ocultar cargas útiles de las herramientas de seguridad. Esta técnica se ha detectado en la Operación FlashHole, una campaña dirigida a organizaciones en Corea del Sur, donde emplean un método moderno de establecimiento de claves para proteger los archivos en el disco.

Grupo Lazarus, vinculados a Corea del Norte, están utilizando criptografía post-cuántica en una cadena de entrega de malware diseñada para ocultar las cargas útiles de etapas posteriores a las herramientas de seguridad.

La técnica apareció en la Operación FlashHole, una campaña dirigida a organizaciones en Corea del Sur. En lugar de confiar únicamente en el cifrado para ocultar archivos en el disco, el malware utiliza un método moderno de establecimiento de claves para proteger las cargas útiles enviadas desde su infraestructura de comando y control.

La cadena de infección de la campaña combina phishing, software confiable de Corea del Sur, varias familias de malware y código que se ejecuta principalmente en la memoria.

Al menos tres organizaciones en los sectores de software, construcción y equipos de comunicaciones cableadas se vieron afectadas, según la investigación de Kaspersky. Los investigadores afirman que la evidencia más antigua conocida de la operación data de julio de 2025.

Analistas de Securelist identificaron el malware y denominaron la actividad Operación FlashHole. Su informe describe cómo Lazarus abusa de CrossWeb EX, un programa de seguridad financiera utilizado para acceder a algunos sitios web gubernamentales y bancarios de Corea del Sur.

Securelist no pudo confirmar exactamente cómo se abusó del software, pero rastreó la cadena hasta un código malicioso que se ejecutaba bajo su proceso.

Esto recuerda a actividades anteriores de Lazarus que involucraban software de seguridad surcoreano y cadenas de suministro de software. Para más contexto, consulta este informe sobre el malware de Lazarus en las cadenas de suministro.

Norcoreanos utilizan cifrado post-cuántico

Es probable que la campaña comenzara con correos electrónicos de phishing dirigidos que remitían a las víctimas a sitios web personalizados, incluidas páginas falsas de currículums o de diseño de interiores.

Securelist encontró enlaces maliciosos incrustados en estos sitios y evaluó que visitarlos podría haber iniciado el proceso de infección. Los investigadores también notaron indicios de que una imagen en una página de currículums podría haber sido generada mediante IA.

No pudieron confirmar cada paso del compromiso inicial, por lo que el papel preciso de cada señuelo sigue siendo una evaluación más que un relato probado.

Después del acceso inicial, la cadena utilizó software legítimo de Windows y ejecución basada en memoria para limitar los rastros dejados en el disco. El conjunto de malware incluyó TechHub, TouchHub, TouchShift, ClientHub, LPEClient y Cubridge.

TechHub ayudó a entregar componentes posteriores, mientras que otras herramientas apoyaron la persistencia, el perfilado del sistema y la entrega de la carga útil. Cubridge actuó como un operador central, capaz de cargar módulos y complementos independientes en lugar de depender de una única puerta trasera masiva.

Este diseño modular es importante porque permite a los atacantes desplegar solo las capacidades necesarias en un dispositivo particular. Securelist describe herramientas que pueden recopilar detalles del sistema y de los procesos, buscar archivos y robar datos del navegador, como contraseñas almacenadas, cookies, marcadores e historial de navegación.

Los investigadores también descubrieron que algunos componentes se comunicaban a través de plataformas legítimas como GitHub, mientras que otros utilizaban sitios web comprometidos o Dropbox.

Un compromiso previo de un proveedor de software por parte de Lazarus muestra por qué las campañas que involucran software confiable y cadenas de suministro pueden afectar a organizaciones más allá de la primera víctima.

Cómo encaja el cifrado post-cuántico

El cambio más notable se encuentra en LPEClient, una familia de malware de Lazarus utilizada para perfilar computadoras infectadas y entregar más cargas útiles. En esta campaña, LPEClient obtiene cuatro bloques de clave pública ML-KEM-1024 desde su servidor de comando y control.

Los utiliza para establecer claves compartidas y luego envía los textos cifrados relacionados a través de ClientHub. Las claves resultantes ayudan a proteger la siguiente carga útil durante la entrega y el descifrado.

ML-KEM es un mecanismo de encapsulación de claves: permite que dos partes establezcan un secreto compartido a través de un canal público, que luego puede usarse con cifrado simétrico. El NIST estandarizó el método en FIPS 203 y enumera ML-KEM-1024 como uno de sus conjuntos de parámetros.

Su uso no significa que los atacantes tengan una computadora cuántica; el método está diseñado para resistir ataques de futuras computadoras cuánticas.

Securelist informa que el malware utiliza las claves establecidas con Threefish para descifrar una carga útil posterior, que luego se carga en la memoria. El informe también describe técnicas destinadas a interferir con el monitoreo de seguridad antes de que se ejecute dicha carga útil.

Estos detalles muestran por qué los defensores no deben tratar la criptografía post-cuántica como una amenaza por sí misma: la preocupación es su uso dentro de una cadena más amplia que combina sigilo, software confiable y una entrega de malware por etapas.

Las organizaciones en Corea del Sur deben revisar el uso y la exposición del software de seguridad financiera, mantenerlo actualizado e investigar procesos hijos inusuales o actividad de memoria inesperada de aplicaciones confiables.

Los equipos de seguridad también pueden buscar el uso sospechoso de GitHub o Dropbox por parte de sistemas que normalmente no necesitan esos servicios, y correlacionar las alertas de los endpoints con tráfico web inusual. Estas comprobaciones son especialmente útiles cuando el malware se ejecuta principalmente en memoria y deja pocos archivos.

La lección más amplia es que las defensas contra el malware deben examinar el comportamiento y el contexto, no solo las firmas de archivos conocidas. Lazarus ha combinado señuelos dirigidos, software legítimo, tráfico de red similar al de un navegador y varias capas de cifrado.

Informes anteriores sobre Lazarus atacando a empresas de drones ofrecen otro ejemplo de cómo el grupo utiliza enfoques personalizados contra diferentes sectores.

Securelist evalúa con una confianza media a alta que FlashHole está conectada a la campaña anterior Operación SyncHole, basándose en similitudes en los objetivos y el malware.

Fuentes:
https://cybersecuritynews.com/north-korean-hackers/