サイバーセキュリティ企業「カスペルスキー（Kaspersky）」の研究者は、Lazarus Groupとして知られる北朝鮮のハッキンググループによるものとされる、FlashHoleと名付けられたサイバー攻撃キャンペーンにおいて、前例のない高度な技術的手法を観測しました。このキャンペーンは韓国の組織を標的としており、攻撃者はコマンド＆コントロール（C2）サーバーとの通信を保護するために、ML-KEM（旧称Kyber）標準暗号アルゴリズムを使用しています。
複雑な攻撃メカニズム
このキャンペーンは、フィッシングページから特別に準備されたGitHubリポジトリへ被害者を誘導することで始まる複雑な感染チェーンに依存しています。これらのページはJavaScriptコードを読み込み、デバイスのメモリ内で一連のコマンドを実行させます。その際、韓国で広く利用されているセキュリティツールINISAFE CrossWeb EXを悪用します。このツールを通じて、正規のWindowsシステムファイル（fsquirt.exe）が実行され、TechHubと呼ばれるダウンローダーがインストールされます。このダウンローダーが、特定のGitHubリポジトリから追加のマルウェアを取得します。
このニュースが重要な理由
マルウェア攻撃における耐量子計算暗号（Post-Quantum Cryptography）の使用は、注目すべき進展です。ML-KEMのような標準規格は「今すぐ傍受し、後で解読する」攻撃からデータを保護するために設計されていますが、攻撃者はこの技術を悪用し、セキュリティ監視システムから悪意のあるペイロードを隠蔽しています。悪意のあるプログラムLPEClientは、攻撃者のサーバーと公開鍵を交換して共有鍵を生成し、受信したペイロードを安全かつ隠密に復号することを可能にしています。
Lazarusの武器庫に追加されたツール
高度な暗号化に加え、このキャンペーンでは以下のツールが使用されています：
- ClientHub: Dropboxサービス経由の通信と、LPEClientとの直接的なデータ交換をサポートするローダーツール。
- Cubridge: ファイル管理、コマンド実行、偵察、スクリーンショット撮影機能を提供するモジュール式バックドア。
- データ窃取ツール: ChromiumベースのWebブラウザを標的とし、認証情報、Cookie、閲覧履歴を盗み出すソフトウェア。
分析によると、Lazarusのコードの大部分はデジタルフットプリントを最小限に抑えるためにメモリ内で動作しますが、被害者のハードディスクにファイルを残す永続化メカニズムも一部存在します。カスペルスキーは、この作戦をCascade Holeとして知られるより広範な活動と関連付けており、同グループが従来のセキュリティ防御を回避するために戦術を進化させ続けていることを裏付けています。