Pesquisadores da empresa de cibersegurança Kaspersky detectaram uma abordagem técnica altamente sofisticada e inédita em uma campanha de ataques cibernéticos batizada de FlashHole, atribuída ao grupo de hackers norte-coreano conhecido como Lazarus Group. A campanha tem como alvo organizações na Coreia do Sul, onde os invasores utilizaram o algoritmo de criptografia padrão ML-KEM (anteriormente conhecido como Kyber) para garantir a comunicação com seus servidores de Comando e Controle (C2).
Mecanismo complexo de ataque
A campanha baseia-se em uma cadeia de infecção complexa que começa com páginas de phishing direcionando as vítimas para repositórios do GitHub especialmente preparados. Essas páginas carregam código JavaScript que aciona a execução de uma série de comandos na memória do dispositivo, explorando uma ferramenta de segurança popular na Coreia do Sul chamada INISAFE CrossWeb EX. Através dessa ferramenta, um arquivo legítimo do sistema Windows (fsquirt.exe) é executado para rodar um código que instala um downloader chamado TechHub, responsável por buscar malwares adicionais em repositórios privados do GitHub.
Por que esta notícia é importante?
O uso de criptografia resistente a computadores quânticos (Post-Quantum Cryptography) em ataques de malware é um desenvolvimento notável. Embora padrões como o ML-KEM tenham sido projetados para proteger dados contra ataques do tipo "interceptar agora e descriptografar depois", os invasores exploraram essa tecnologia para ocultar suas cargas maliciosas dos sistemas de monitoramento de segurança. O software malicioso LPEClient troca chaves públicas com o servidor dos invasores para gerar chaves compartilhadas, permitindo a descriptografia de cargas recebidas de forma segura e oculta.
Ferramentas adicionais no arsenal do Lazarus
Além da criptografia avançada, a campanha utiliza outras ferramentas que incluem:
- ClientHub: Um downloader que suporta comunicação via serviço Dropbox e troca direta de dados com o LPEClient.
- Cubridge: Um backdoor modular que fornece recursos de gerenciamento de arquivos, execução de comandos e reconhecimento, além de captura de tela.
- Ferramentas de roubo de dados: Softwares direcionados a navegadores baseados no Chromium para roubar credenciais, cookies e histórico de navegação.
As análises indicam que a maior parte do código do Lazarus nesta operação opera na memória (In-memory) para minimizar a pegada digital, embora existam alguns mecanismos de persistência que deixam arquivos no disco rígido da vítima. A Kaspersky vincula esta operação a uma atividade mais ampla conhecida como Cascade Hole, confirmando a contínua evolução do grupo em suas táticas para burlar defesas de segurança tradicionais.