Исследователи из компании по кибербезопасности «Лаборатория Касперского» (Kaspersky) зафиксировали сложную и беспрецедентную техническую тактику в рамках кампании кибератак, получившей название FlashHole, которая приписывается северокорейской хакерской группировке Lazarus Group. Эта кампания нацелена на организации в Южной Корее, где атакующие используют стандартный алгоритм шифрования ML-KEM (ранее известный как Kyber) для защиты связи со своими командными серверами (C2).
Сложный механизм атаки
Кампания опирается на сложную цепочку заражения, начинающуюся с фишинговых страниц, которые направляют жертв на специально подготовленные репозитории GitHub. Эти страницы загружают JavaScript-код, приводящий к выполнению серии команд в памяти устройства с использованием популярного в Южной Корее инструмента безопасности INISAFE CrossWeb EX. Через этот инструмент запускается легитимный системный файл Windows (fsquirt.exe) для выполнения кода, устанавливающего загрузчик TechHub, который отвечает за получение дополнительного вредоносного ПО из приватных репозиториев GitHub.
Почему это важно?
Использование постквантового шифрования (Post-Quantum Cryptography) в атаках с применением вредоносного ПО представляет собой заметный сдвиг. В то время как такие стандарты, как ML-KEM, создавались для защиты данных от атак типа «перехвати сейчас, расшифруй потом», атакующие использовали эту технологию для скрытия своих вредоносных полезных нагрузок от систем мониторинга безопасности. Вредоносная программа LPEClient обменивается открытыми ключами с сервером злоумышленников для генерации общих ключей, что позволяет безопасно и незаметно расшифровывать входящие полезные нагрузки.
Дополнительные инструменты в арсенале Lazarus
Помимо продвинутого шифрования, в кампании используются и другие инструменты, в том числе:
- ClientHub: загрузчик, поддерживающий связь через сервис Dropbox и прямой обмен данными с LPEClient.
- Cubridge: модульный бэкдор (Backdoor), обеспечивающий возможности управления файлами, выполнения команд, разведки, а также создания снимков экрана.
- Инструменты кражи данных: вредоносные программы, нацеленные на веб-браузеры на базе Chromium для кражи учетных данных, файлов cookie и истории посещений.
Анализ показывает, что большая часть кода Lazarus в этой операции работает в оперативной памяти (In-memory), чтобы минимизировать цифровой след, хотя присутствуют и некоторые механизмы закрепления в системе, оставляющие файлы на жестком диске жертвы. «Лаборатория Касперского» связывает эту операцию с более широкой активностью, известной как Cascade Hole, что подтверждает продолжение развития тактик группы для обхода традиционных средств защиты.