Forscher des Cybersicherheitsunternehmens Kaspersky haben eine hochentwickelte und beispiellose technische Methode in einer Cyberangriffskampagne entdeckt, die sie FlashHole nennen und der nordkoreanischen Hackergruppe Lazarus Group zuschreiben. Diese Kampagne zielt auf Organisationen in Südkorea ab, wobei die Angreifer den Standard-Verschlüsselungsalgorithmus ML-KEM (früher bekannt als Kyber) verwenden, um die Kommunikation mit ihren Befehls- und Kontrollservern (C2) zu sichern.
Komplexer Angriffsmechanismus
Die Kampagne stützt sich auf eine komplexe Infektionskette, die mit Phishing-Seiten beginnt, welche Opfer auf speziell präparierte GitHub-Repositories leiten. Diese Seiten laden JavaScript-Code, der eine Reihe von Befehlen im Arbeitsspeicher des Geräts ausführt und dabei ein in Südkorea verbreitetes Sicherheitstool namens INISAFE CrossWeb EX ausnutzt. Über dieses Tool wird eine legitime Windows-Systemdatei (fsquirt.exe) ausgeführt, um einen Programmcode zu starten, der einen Downloader namens TechHub installiert, welcher wiederum zusätzliche Malware aus privaten GitHub-Repositories bezieht.
Warum ist diese Nachricht wichtig?
Der Einsatz von quantenresistenter Verschlüsselung (Post-Quantum Cryptography) bei Malware-Angriffen ist eine bemerkenswerte Entwicklung. Während Standards wie ML-KEM dazu konzipiert wurden, Daten vor Angriffen nach dem Prinzip „Jetzt abfangen, später entschlüsseln“ zu schützen, haben die Angreifer diese Technologie genutzt, um ihre schädlichen Payloads vor Sicherheitsüberwachungssystemen zu verbergen. Das Schadprogramm LPEClient tauscht öffentliche Schlüssel mit dem Server der Angreifer aus, um gemeinsame Schlüssel zu generieren, was eine sichere und verdeckte Entschlüsselung der eingehenden Payloads ermöglicht.
Zusätzliche Werkzeuge im Arsenal von Lazarus
Neben der fortschrittlichen Verschlüsselung verwendet die Kampagne weitere Werkzeuge, darunter:
- ClientHub: Ein Loader, der die Kommunikation über den Dienst Dropbox sowie den direkten Datenaustausch mit LPEClient unterstützt.
- Cubridge: Eine modulare Backdoor, die Funktionen zur Dateiverwaltung, Befehlsausführung, Aufklärung sowie zur Erstellung von Screenshots bietet.
- Datendiebstahl-Tools: Software, die auf Chromium-basierte Webbrowser abzielt, um Anmeldedaten, Cookies und den Browserverlauf zu stehlen.
Analysen deuten darauf hin, dass der Großteil des Lazarus-Codes in diesem Vorgang im Arbeitsspeicher (In-memory) ausgeführt wird, um den digitalen Fußabdruck zu minimieren, obwohl es einige Persistenzmechanismen gibt, die Dateien auf der Festplatte des Opfers hinterlassen. Kaspersky bringt diesen Vorgang mit einer breiteren Aktivität in Verbindung, die als Cascade Hole bekannt ist, was bestätigt, dass die Gruppe ihre Taktiken zur Umgehung traditioneller Sicherheitsabwehrsysteme kontinuierlich weiterentwickelt.