Eine gegen südkoreanische Organisationen gerichtete Malware-Kampagne nutzt Post-Quanten-Kryptografie, um Payloads zu schützen, die von der Command-and-Control-Infrastruktur ausgeliefert werden. Kaspersky hat die Operation FlashHole benannt und der nordkoreanischen Lazarus Group zugeschrieben, wie aus einem Bericht von BleepingComputer vom 21. Oktober 2026 hervorgeht.
Die Angriffe sollen im Juli 2025 begonnen haben. Kaspersky hat mindestens drei betroffene Unternehmen identifiziert, die in der Softwareentwicklung, im Baugewerbe und in der Herstellung von Geräten für die drahtgebundene Kommunikation tätig sind. Die Forscher vermuten, dass weitere Organisationen kompromittiert wurden. Das gesamte Ausmaß ist jedoch bislang eine Einschätzung und keine bestätigte Zahl von Opfern.
Phishing führt zu einer Ausführungskette im Arbeitsspeicher
FlashHole beginnt mit Phishing-Seiten, die die Ziele auf eigens erstellte GitHub-Pages leiten. Diese Seiten laden JavaScript von externen Domains nach und starten damit eine mehrstufige Kette, die den Großteil des bösartigen Codes im Arbeitsspeicher hält.
Die Operation missbraucht INISAFE CrossWeb EX, ein legitimes Sicherheitsprodukt, das in Südkorea weit verbreitet ist. Ein INISAFE-Prozess startet die legitime Windows-Anwendung fsquirt.exe, die daraufhin Shellcode ausführt.
Dieser Shellcode installiert TechHub, einen Downloader, der weitere Malware aus privaten GitHub-Repositories nachlädt. In den folgenden Stufen kommen mehrere unterschiedliche Komponenten hinzu:
- TechHub lädt weitere Werkzeuge aus privaten GitHub-Repositories herunter.
- LPEClient erstellt ein Profil der kompromittierten Systeme, versucht, die Sicherheitsüberwachung zu umgehen, und verarbeitet verschlüsselte Payloads, die über ClientHub eingehen.
- ClientHub, in diesen Angriffen ein neuer Loader, unterstützt Kommunikation über Dropbox und direkten Austausch mit LPEClient.
- Cubridge ist ein modulares Backdoor, das Aufklärung betreibt, Dateien verwaltet, Befehle ausführt, Screenshots erstellt und weitere Payloads lädt.
- Nicht namentlich genannte Tools zum Diebstahl von Zugangsdaten zielen auf Chromium-basierte Browser ab und greifen dabei auf Konto-Zugangsdaten, Cookies und den Browserverlauf zu.
Cubridge wird reflektiv in den Speicher des Hosts geladen. Obwohl ein Großteil der Kette ohne das Schreiben der Hauptkomponenten auf den Datenträger auskommt, hinterlassen die Persistenzmechanismen einige Dateien auf der Festplatte.
Diese Namen bezeichnen separate Malware-Familien bzw. Komponenten innerhalb von FlashHole. Kaspersky ordnet ihren Einsatz in dieser Kampagne Lazarus zu. Sie sollten nicht als austauschbare Bezeichnungen für den Akteur oder die Operation betrachtet werden.
ML-KEM schützt die nächste Payload-Stufe
Der kryptografische Austausch erfolgt über LPEClient. Die Malware erhält vom Command-and-Control-Server ein Byte-Array, das vier Blöcke mit jeweils 1.568 Byte enthält. Jeder Block trägt einen öffentlichen Schlüssel vom Typ ML-KEM-1024.
LPEClient verwendet diese Schlüssel, um vier getrennte Paare aus gemeinsamen Geheimnissen und Chiffretexten zu erzeugen. Die Chiffretexte verschlüsselt es mit dem Algorithmus GOST und sendet sie über ClientHub an den Server. Die gemeinsamen Geheimnisse liefern das Schlüsselmaterial für Threefish, mit dem die Serverantwort entschlüsselt wird. Diese Antwort enthält Konfigurationsparameter und die ausführbare Payload.
ML-KEM ist ein von NIST genehmigter Standard für Post-Quanten-Schlüsselkapselung, der künftige Angriffe durch Quantencomputer abwehren soll. In FlashHole dient er jedoch vor allem einem unmittelbaren operativen Zweck: der Abschirmung der Malware-Auslieferung zwischen dem infizierten Host und der Command-and-Control-Infrastruktur.
Kaspersky geht davon aus, dass die Kombination aus verschlüsseltem Austausch und Ausführung im Arbeitsspeicher die Sichtbarkeit späterer Payload-Stufen verringern soll. Die Kryptografie beseitigt jedoch nicht die Verhaltensspuren, die an anderer Stelle der Kette entstehen. Dazu gehören ungewöhnliche Prozessausführungen, das Nachladen externer Skripte, der Abruf über GitHub und Aktivitäten im Zusammenhang mit den Loadern und dem Backdoor.
Defensiver Fokus: Prozessherkunft und mehrstufige Netzwerkaktivität
Verteidiger, insbesondere Organisationen, die INISAFE CrossWeb EX einsetzen, können die Erkennung auf die beobachtete Abfolge ausrichten, statt sich allein auf die Untersuchung der Payloads zu verlassen. Relevante Verhaltensweisen sind unter anderem:
- ein INISAFE-Prozess, der unerwartet
fsquirt.exestartet; - Shellcode oder andere auffällige Ausführung im Arbeitsspeicher nach dieser Prozessbeziehung;
- Downloads aus privaten GitHub-Repositories, die mit einem früheren Phishing- oder Skript-Nachladevorgang zusammenhängen;
- unerwarteter Dropbox-Verkehr von Prozessen, die an der Loader-Kette beteiligt sind;
- Zugriffe auf Chromium-Zugangsdaten, Cookies oder den Browserverlauf nach der ersten Kompromittierung;
- reflektives Laden und reine Ausführung im Speicher, wie sie für den Einsatz von Cubridge typisch sind.
Eine Suche, die sich nur auf Dateien auf dem Datenträger konzentriert, übersieht womöglich einen Großteil der Aktivität, da die Kernkette überwiegend im Arbeitsspeicher läuft. Endpoint-Telemetrie, die Prozessherkunft, Speicherausführungsereignisse, Zugriffe auf Browserdaten und ausgehende Verbindungen festhält, bietet eine bessere Grundlage, um die Abfolge zu erkennen.
Kaspersky ordnet FlashHole der übergeordneten Aktivität Cascade Hole zu und verbindet die Kampagne mit der früheren Operation SyncHole, und zwar mit mittlerer bis hoher Konfidenz. Diese Verbindung ist eine analytische Einschätzung. Kampagnenname, Malware-Komponenten und der zugeschriebene Akteur bleiben in der Berichterstattung getrennte Elemente.
