Lazarus usa criptografía poscuántica para ocultar la entrega de malware en la campaña FlashHole

Kaspersky atribuyó al grupo norcoreano una campaña contra organizaciones de Corea del Sur que usa el mecanismo ML-KEM, estandarizado para resistir ataques de computadoras cuánticas. Eso no significa que los atacantes tengan una computadora cuántica. (Fuente: BleepingComputer / Kaspersky)

Investigadores de Kaspersky descubrieron que el grupo norcoreano Lazarus usa criptografía poscuántica en la entrega de sus cargas maliciosas, según BleepingComputer. La operación, que Kaspersky bautizó FlashHole y atribuyó a Lazarus, apunta a organizaciones de Corea del Sur mediante una cadena de infección que BleepingComputer describe como «bastante compleja». Es la continuación de la Operación SyncHole, que Kaspersky descubrió el año pasado.

Cómo funciona la cadena de ataque

• El punto de entrada: según el análisis publicado por Kaspersky, el ataque abusa de CrossWeb EX, un software de seguridad financiera de instalación obligatoria en Corea del Sur, con una técnica de «abrevadero», que consiste en comprometer un sitio que visitan las víctimas. Las empresas objetivo son de software, construcción y equipos de comunicaciones por cable.
• La criptografía: una versión actualizada de LPEClient, herramienta de Lazarus que recopila información de los equipos infectados y entrega más malware, recibe del servidor de comando y control claves públicas ML-KEM-1024 y las usa para generar claves compartidas que descifran las cargas que llegan después. ML-KEM es un mecanismo aprobado por el NIST, derivado de CRYSTALS-Kyber, que se incluye en varios proyectos de software para protegerse de los ataques de «capturar ahora, descifrar después». Esas claves alimentan a otro algoritmo, Threefish, que descifra la respuesta con los parámetros y el ejecutable.
• El malware: la cadena incluye un descargador llamado TechHub, que obtiene más malware desde repositorios privados de GitHub, y Cubridge, una puerta trasera modular con administración de archivos, ejecución de comandos, reconocimiento, captura de pantalla y carga de otras cargas. Casi todo el código corre en memoria, aunque algunos mecanismos de persistencia dejan archivos en el disco.
• Otro dato: según Kaspersky, uno de los componentes, ClientHub, usa el cifrado de flujo SNOW, algo inédito en el malware de Lazarus.

Qué significa

Kaspersky cree que Lazarus combina este método con una cadena de ejecución en memoria para reducir al mínimo el riesgo de ser detectado, y afirma que usar criptografía poscuántica «muestra que el grupo pretende ocultar las cargas posteriores». Sus hallazgos rastrean ese uso hasta al menos septiembre de 2024. Los investigadores señalan que el grupo adoptó criptografía más segura incluso más rápido que muchos productos de seguridad legítimos. Los equipos de seguridad, dice Kaspersky, deben considerar las dos caras de la transición: proteger los sistemas legítimos de futuras amenazas cuánticas y entender cómo los atacantes ya adoptan esa tecnología. Las víctimas identificadas hasta ahora están en Corea del Sur. Otras notas sobre el grupo: explotó un día cero de Windows en agosto.

Nota elaborada con asistencia de IA. Fuentes verificadas y contenido editado por el equipo de Infosertec. Conocé nuestro proceso editorial.