Una campaña de malware dirigida a organizaciones surcoreanas emplea criptografía poscuántica para proteger las cargas que se distribuyen desde la infraestructura de comando y control. Kaspersky denominó a la operación FlashHole y la atribuyó al grupo norcoreano Lazarus, según un informe de BleepingComputer publicado el 21 de octubre de 2026.
Según se informa, los ataques comenzaron en julio de 2025. Kaspersky identificó al menos tres empresas afectadas que operan en los sectores del software, la construcción y la fabricación de equipos de comunicación por cable. Los investigadores sospechan que otras organizaciones también fueron comprometidas, pero ese impacto más amplio sigue siendo una estimación y no un recuento confirmado de víctimas.
El phishing da paso a una cadena de ejecución en memoria
FlashHole comienza con páginas de phishing que dirigen a las víctimas a páginas de GitHub construidas específicamente para ello. Esas páginas cargan JavaScript desde dominios externos, lo que inicia una cadena de varias etapas diseñada para mantener la mayor parte del código malicioso en memoria.
La operación abusa de INISAFE CrossWeb EX, un producto de seguridad legítimo y muy extendido en Corea del Sur. Un proceso de INISAFE lanza el ejecutable legítimo de Windows fsquirt.exe, que a continuación ejecuta un shellcode.
Ese shellcode instala TechHub, un descargador encargado de obtener malware adicional desde repositorios privados de GitHub. Las etapas posteriores incorporan varios componentes distintos:
- TechHub descarga más herramientas desde repositorios privados de GitHub.
- LPEClient perfila los sistemas comprometidos, intenta eludir la monitorización de seguridad y procesa las cargas cifradas recibidas a través de ClientHub.
- ClientHub, descrito como un nuevo cargador en estos ataques, admite comunicaciones con Dropbox e intercambios directos con LPEClient.
- Cubridge es una puerta trasera modular capaz de realizar reconocimiento, gestión de archivos, ejecución de comandos, captura de pantallas y carga de cargas adicionales.
- Varias herramientas de robo de credenciales, sin nombre asignado, atacan los navegadores basados en Chromium para obtener credenciales de cuentas, cookies e historial de navegación.
Cubridge se carga de forma reflexiva en la memoria del equipo infectado. Aunque gran parte de la cadena se ejecuta sin escribir sus componentes principales en el almacenamiento, los mecanismos de persistencia dejan algunos archivos en disco.
Estos nombres describen familias de malware o componentes independientes dentro de FlashHole. Kaspersky atribuye su uso en esta campaña a Lazarus; no deben tratarse como nombres intercambiables ni para el operador ni para la operación.
ML-KEM protege la siguiente etapa de la carga
El intercambio criptográfico se produce a través de LPEClient. El malware obtiene del servidor de comando y control una matriz de bytes que contiene cuatro bloques de 1.568 bytes cada uno. Cada bloque incluye una clave pública ML-KEM-1024.
LPEClient utiliza esas claves para generar cuatro pares independientes de secretos compartidos y textos cifrados. Cifra los textos cifrados con el algoritmo GOST y los envía al servidor a través de ClientHub. Los secretos compartidos proporcionan el material de clave para Threefish, que descifra la respuesta del servidor con los parámetros de configuración y la carga ejecutable.
ML-KEM es un estándar de encapsulación de claves poscuántico aprobado por el NIST, pensado para resistir ataques futuros de sistemas con capacidad cuántica. En FlashHole, sin embargo, su finalidad inmediata es operativa: proteger la entrega de malware entre el equipo infectado y la infraestructura de comando.
Kaspersky considera que la combinación de este intercambio cifrado y la ejecución residente en memoria pretende reducir la visibilidad de las etapas posteriores de la carga. La criptografía no elimina las evidencias de comportamiento presentes en otras partes de la cadena, como la ejecución inusual de procesos, la carga de scripts externos, la obtención de archivos desde GitHub y la actividad asociada a los cargadores y a la puerta trasera.
Enfoque defensivo: relación entre procesos y actividad de red por etapas
Los defensores, especialmente las organizaciones que usan INISAFE CrossWeb EX, pueden centrar la detección en la secuencia observada en lugar de depender solo de la inspección de las cargas. Entre los comportamientos relevantes se incluyen:
- un proceso de INISAFE que lanza
fsquirt.exede forma inesperada; - shellcode u otra ejecución anómala en memoria tras esa relación entre procesos;
- descargas desde repositorios privados de GitHub asociadas a un evento previo de phishing o de carga de scripts;
- tráfico inesperado hacia Dropbox desde procesos implicados en la cadena de cargadores;
- acceso a credenciales, cookies o historial de Chromium tras el compromiso inicial;
- carga reflexiva y ejecución solo en memoria compatibles con el despliegue de Cubridge.
Un escaneo centrado en el disco por sí solo podría pasar por alto gran parte de la actividad, porque la cadena principal se ejecuta sobre todo en memoria. La telemetría de endpoints que conserva la relación entre procesos, los eventos de ejecución en memoria, los accesos a datos del navegador y las conexiones salientes ofrece una base más sólida para identificar la secuencia.
Kaspersky sitúa FlashHole dentro de la actividad más amplia conocida como Cascade Hole y la relaciona con la anterior Operation SyncHole con un grado de confianza medio-alto. Esa relación es una valoración analítica; el nombre de la campaña, los componentes de malware y el operador atribuido siguen siendo elementos separados del informe.
