网络安全公司“卡巴斯基”（Kaspersky）的研究人员在名为 FlashHole 的网络攻击行动中发现了一种复杂且前所未有的技术手段，该行动被归因于名为 Lazarus Group 的朝鲜黑客组织。此次行动针对韩国的机构，攻击者使用了标准加密算法 ML-KEM（前身为 Kyber）来保护与其命令与控制（C2）服务器之间的通信。
复杂的攻击机制
该行动依赖于复杂的感染链，始于将受害者引导至专门准备的 GitHub 存储库的钓鱼页面。这些页面会加载 JavaScript 代码，导致在设备内存中执行一系列命令，并利用韩国常用的一种名为 INISAFE CrossWeb EX 的安全工具。通过该工具，系统会运行一个合法的 Windows 系统文件（fsquirt.exe）来执行代码，从而安装一个名为 TechHub 的下载器，该下载器负责从特定的 GitHub 存储库中获取额外的恶意软件。
为何此消息重要？
在恶意软件攻击中使用抗量子加密（Post-Quantum Cryptography）是一个引人注目的进展。虽然像 ML-KEM 这样的标准旨在保护数据免受“现在拦截，以后解密”攻击的影响，但攻击者利用该技术将恶意载荷隐藏在安全监控系统之外。恶意程序 LPEClient 与攻击者服务器交换公钥以生成共享密钥，从而能够安全且隐蔽地解密传入的载荷。
Lazarus 武器库中的其他工具
除了先进的加密技术外，该行动还使用了其他工具，包括：
- ClientHub： 一个支持通过 Dropbox 服务进行通信并与 LPEClient 直接交换数据的下载器。
- Cubridge： 一个模块化后门（Backdoor），提供文件管理、命令执行、侦察以及屏幕截图功能。
- 数据窃取工具： 针对基于 Chromium 的网络浏览器窃取凭据、Cookie 和浏览记录的软件。
分析表明，Lazarus 在此过程中的大部分代码都在内存（In-memory）中运行，以减少数字足迹，尽管存在一些在受害者硬盘上留下文件的持久化机制。卡巴斯基将此行动与更广泛的名为 Cascade Hole 的活动联系起来，这证实了该组织在不断改进其战术以绕过传统安全防御。