Un nuevo informe de BleepingComputer revela que Lazarus Group ha adoptado el algoritmo de cifrado post‑cuántico ML‑KEM‑1024, parte del estándar NIST, para proteger la comunicación de comando y control (C2) de su campaña Operation FlashHole. La carga maliciosa se distribuye a través de correos de phishing que enlazan a páginas falsas en GitHub y aprovechan vulnerabilidades en el software de seguridad surcoreano INISAFE CrossWeb EX, así como el binario legítimo fsquirt.exe para ejecutar shellcode en memoria. La arquitectura del malware está diseñada para permanecer mayormente en memoria, reduciendo la huella en disco y dificultando la detección tradicional.

Qué sabemos

Según el análisis, la cadena de cifrado C2 combina ML‑KEM‑1024 con algoritmos clásicos GOST y Threefish, creando una capa de protección híbrida que dificulta la intercepción y el descifrado de los mensajes de mando. El toolkit utilizado incluye varios componentes: LPEClient, TechHub, ClientHub, el backdoor Cubridge y varios stealers orientados a la extracción de credenciales de navegadores. Cada módulo se comunica con el servidor de comando mediante la capa de cifrado descrita, lo que sugiere un enfoque modular y escalable.

La campaña se dirige principalmente a organizaciones en la península coreana, aunque la infraestructura de entrega a través de GitHub permite un alcance global. El uso de fsquirt.exe, una herramienta legítima de transferencia de archivos, permite la ejecución de código sin necesidad de escribir archivos sospechosos en el disco, reforzando la estrategia de “file‑less”.

Análisis técnico

Los vectores de ataque identificados son dos: (1) correos de phishing que contienen enlaces a repositorios de GitHub diseñados para parecer proyectos legítimos y (2) abuso del software de seguridad INISAFE CrossWeb EX, que se explota para cargar shellcode en procesos de confianza. Una vez ejecutado, el shellcode inicializa el módulo LPEClient, que establece la primera capa de comunicación cifrada con el servidor C2 usando ML‑KEM‑1024. Posteriormente, los datos se re‑cifran con GOST y Threefish antes de ser transmitidos.

El backdoor Cubridge permite la persistencia y la ejecución de comandos adicionales, mientras que los stealers de navegadores recogen cookies, contraseñas y tokens de sesión. La ausencia de artefactos persistentes en disco y la dependencia de la memoria volátil hacen que la detección basada en firmas sea poco eficaz; en su lugar, los comportamientos de red y la anomalía en el uso de algoritmos de cifrado poco comunes son indicadores críticos.

Qué deben hacer los equipos de seguridad

  • Monitorear el tráfico de red en busca de patrones de cifrado inusuales, especialmente intercambios que involucren tamaños de clave compatibles con ML‑KEM‑1024.
  • Implementar detección basada en comportamiento para identificar la ejecución de procesos legítimos como fsquirt.exe que cargan shellcode en memoria.
  • Reforzar la inspección de correos electrónicos y enlaces a repositorios externos, aplicando filtros de URL y análisis de reputación de dominios de GitHub.
  • Actualizar y revisar las configuraciones de herramientas de seguridad como INISAFE CrossWeb EX para bloquear la ejecución no autorizada de código externo.
  • Desplegar soluciones de EDR que puedan capturar y analizar actividades de memoria, incluyendo la creación de procesos hijos y la inyección de código.
  • Realizar pruebas de penetración internas que incluyan escenarios de file‑less para validar la capacidad de detección de la organización.
Fuente: BleepingComputer