Des chercheurs de la société de cybersécurité Kaspersky ont détecté une technique sophistiquée et sans précédent dans une campagne de cyberattaques baptisée FlashHole, attribuée au groupe de pirates informatiques nord-coréen connu sous le nom de Lazarus Group. Cette campagne cible des organisations en Corée du Sud, où les attaquants utilisent l'algorithme de chiffrement standard ML-KEM (anciennement connu sous le nom de Kyber) pour sécuriser la communication avec leurs serveurs de commande et de contrôle (C2).
Mécanisme d'attaque complexe
La campagne repose sur une chaîne d'infection complexe commençant par des pages de phishing qui dirigent les victimes vers des dépôts GitHub spécialement préparés. Ces pages chargent du code JavaScript qui entraîne l'exécution d'une série de commandes dans la mémoire de l'appareil, exploitant un outil de sécurité courant en Corée du Sud appelé INISAFE CrossWeb EX. Grâce à cet outil, un fichier système Windows légitime (fsquirt.exe) est exécuté pour lancer un code qui installe un téléchargeur nommé TechHub, lequel se charge de récupérer des logiciels malveillants supplémentaires depuis des dépôts GitHub privés.
Pourquoi cette nouvelle est-elle importante ?
L'utilisation du chiffrement résistant aux ordinateurs quantiques (Post-Quantum Cryptography) dans des attaques de logiciels malveillants constitue une évolution notable. Alors que des normes telles que ML-KEM ont été conçues pour protéger les données contre les attaques de type « intercepter maintenant et déchiffrer plus tard », les attaquants ont exploité cette technologie pour dissimuler leurs charges utiles malveillantes aux systèmes de surveillance de sécurité. Le logiciel malveillant LPEClient échange des clés publiques avec le serveur des attaquants pour générer des clés partagées, permettant ainsi le déchiffrement des charges utiles entrantes de manière sécurisée et furtive.
Outils supplémentaires dans l'arsenal de Lazarus
Outre le chiffrement avancé, la campagne utilise d'autres outils, notamment :
- ClientHub : un outil de chargement qui prend en charge la communication via le service Dropbox et l'échange direct de données avec LPEClient.
- Cubridge : une porte dérobée (Backdoor) modulaire offrant des capacités de gestion de fichiers, d'exécution de commandes, de reconnaissance, ainsi que la capture d'écran.
- Outils de vol de données : des logiciels ciblant les navigateurs web basés sur Chromium pour voler des identifiants, des cookies et l'historique de navigation.
Les analyses indiquent qu'une grande partie du code de Lazarus dans cette opération fonctionne en mémoire (In-memory) afin de réduire l'empreinte numérique, bien qu'il existe certains mécanismes de persistance qui laissent des fichiers sur le disque dur de la victime. Kaspersky relie cette opération à une activité plus large connue sous le nom de Cascade Hole, ce qui confirme que le groupe continue de développer ses tactiques pour contourner les défenses de sécurité traditionnelles.