Investigadores de la empresa de ciberseguridad Kaspersky han detectado un método técnico sofisticado y sin precedentes en una campaña de ciberataques denominada FlashHole, atribuida al grupo de piratería norcoreano conocido como Lazarus Group. Esta campaña tiene como objetivo a organizaciones en Corea del Sur, donde los atacantes utilizaron el algoritmo de cifrado estándar ML-KEM (anteriormente conocido como Kyber) para asegurar la comunicación con sus servidores de comando y control (C2).
Mecanismo de ataque complejo
La campaña se basa en una cadena de infección compleja que comienza con páginas de phishing que dirigen a las víctimas a repositorios de GitHub especialmente preparados. Estas páginas descargan código JavaScript que provoca la ejecución de una serie de comandos en la memoria del dispositivo, explotando una herramienta de seguridad común en Corea del Sur llamada INISAFE CrossWeb EX. A través de esta herramienta, se ejecuta un archivo legítimo del sistema operativo Windows (fsquirt.exe) para ejecutar un código que instala una herramienta de descarga llamada TechHub, la cual se encarga de recuperar malware adicional desde repositorios específicos de GitHub.
¿Por qué importa esta noticia?
El uso de cifrado resistente a la computación cuántica (Post-Quantum Cryptography) en ataques de malware es un desarrollo notable. Si bien estándares como ML-KEM fueron diseñados para proteger los datos contra ataques de "interceptar ahora y descifrar después", los atacantes aprovecharon esta tecnología para ocultar sus cargas maliciosas de los sistemas de monitoreo de seguridad. El software malicioso LPEClient intercambia claves públicas con el servidor de los atacantes para generar claves compartidas, lo que permite el descifrado seguro y encubierto de las cargas entrantes.
Herramientas adicionales en el arsenal de Lazarus
Además del cifrado avanzado, la campaña utiliza otras herramientas que incluyen:
- ClientHub: una herramienta de carga que admite la comunicación a través del servicio Dropbox y el intercambio directo de datos con LPEClient.
- Cubridge: una puerta trasera (Backdoor) modular que proporciona capacidades de administración de archivos, ejecución de comandos y reconocimiento, además de tomar capturas de pantalla.
- Herramientas de robo de datos: software dirigido a navegadores web basados en Chromium para robar credenciales, cookies y el historial de navegación.
Los análisis indican que la mayor parte del código de Lazarus en esta operación se ejecuta dentro de la memoria (In-memory) para minimizar la huella digital, a pesar de la presencia de algunos mecanismos de persistencia que dejan archivos en el disco duro de la víctima. Kaspersky vincula esta operación con una actividad más amplia conocida como Cascade Hole, lo que confirma que el grupo sigue evolucionando sus tácticas para burlar las defensas de seguridad tradicionales.