Une campagne de logiciels malveillants visant des organisations sud-coréennes utilise la cryptographie post-quantique pour protéger les charges utiles livrées depuis une infrastructure de commande et de contrôle. Selon un rapport de BleepingComputer publié le 21 octobre 2026, Kaspersky a baptisé l'opération FlashHole et l'a attribuée au groupe nord-coréen Lazarus Group.
Les attaques auraient commencé en juillet 2025. Kaspersky a identifié au moins trois entreprises touchées, actives dans les secteurs du logiciel, de la construction et de la fabrication d'équipements de communication filaire. Les chercheurs soupçonnent que d'autres organisations ont été compromises, mais l'ampleur réelle reste une estimation et non un nombre de victimes confirmé.
Le phishing mène à une chaîne d'exécution en mémoire
FlashHole commence par des pages de hameçonnage qui redirigent les cibles vers des pages GitHub spécialement construites. Ces pages chargent du JavaScript depuis des domaines externes, ce qui déclenche une chaîne en plusieurs étapes conçue pour que la plupart du code malveillant reste en mémoire.
L'opération exploite INISAFE CrossWeb EX, un produit de sécurité légitime largement utilisé en Corée du Sud. Un processus d'INISAFE lance l'exécutable Windows légitime fsquirt.exe, qui exécute ensuite du shellcode.
Ce shellcode installe TechHub, un downloader chargé de récupérer d'autres logiciels malveillants depuis des dépôts GitHub privés. Les étapes suivantes introduisent plusieurs composants distincts :
- TechHub télécharge d'autres outils depuis des dépôts GitHub privés.
- LPEClient profile les systèmes compromis, tente d'échapper à la surveillance de sécurité et traite les charges utiles chiffrées reçues via ClientHub.
- ClientHub, décrit comme un nouveau loader dans ces attaques, prend en charge les communications via Dropbox et les échanges directs avec LPEClient.
- Cubridge est une backdoor modulaire capable de reconnaissance, de gestion de fichiers, d'exécution de commandes, de capture d'écran et de chargement de charges utiles supplémentaires.
- Des outils non nommés de vol d'identifiants ciblent les navigateurs basés sur Chromium pour récupérer les identifiants de compte, les cookies et l'historique de navigation.
Cubridge est chargé de manière réflexive dans la mémoire de l'hôte. Bien qu'une grande partie de la chaîne s'exécute sans écrire ses composants principaux sur le stockage, les mécanismes de persistance laissent quelques fichiers sur le disque.
Ces noms désignent des familles de logiciels malveillants ou des composants distincts au sein de FlashHole. Kaspersky attribue leur utilisation dans cette campagne à Lazarus ; ils ne doivent pas être considérés comme des noms interchangeables, que ce soit pour désigner l'opérateur ou l'opération.
ML-KEM protège l'étape suivante de la charge utile
L'échange cryptographique passe par LPEClient. Le logiciel malveillant obtient du serveur de commande et de contrôle un tableau d'octets contenant quatre blocs de 1 568 octets chacun. Chaque bloc transporte une clé publique ML-KEM-1024.
LPEClient utilise ces clés pour générer quatre paires distinctes de secrets partagés et de textes chiffrés. Il chiffre les textes chiffrés avec l'algorithme GOST et les envoie au serveur via ClientHub. Les secrets partagés fournissent le matériel de clé à Threefish, qui déchiffre la réponse du serveur contenant les paramètres de configuration et la charge utile exécutable.
ML-KEM est une norme d'encapsulation de clés post-quantique approuvée par le NIST, destinée à résister aux attaques futures menées par des systèmes capables de calcul quantique. Dans FlashHole, toutefois, son usage immédiat est opérationnel : il met à l'abri la diffusion des logiciels malveillants entre l'hôte infecté et l'infrastructure de commande.
Kaspersky estime que la combinaison de cet échange chiffré et de l'exécution résidente en mémoire vise à réduire la visibilité sur les étapes ultérieures de la charge utile. La cryptographie n'élimine pas pour autant les traces comportementales ailleurs dans la chaîne, notamment l'exécution inhabituelle de processus, le chargement de scripts externes, la récupération via GitHub et l'activité associée aux loaders et à la backdoor.
Point de vigilance défensif : filiation des processus et activité réseau par étapes
Les défenseurs, en particulier les organisations qui utilisent INISAFE CrossWeb EX, peuvent concentrer la détection sur la séquence observée plutôt que de se fier uniquement à l'inspection des charges utiles. Les comportements pertinents comprennent :
- un processus d'INISAFE lançant de manière inattendue
fsquirt.exe; - du shellcode ou une autre exécution anormale en mémoire faisant suite à cette relation entre processus ;
- des téléchargements depuis des dépôts GitHub privés associés à un événement antérieur de hameçonnage ou de chargement de script ;
- un trafic Dropbox inattendu provenant de processus impliqués dans la chaîne de loaders ;
- des accès aux identifiants, aux cookies ou à l'historique de navigation Chromium après la compromission initiale ;
- un chargement réflexif et une exécution uniquement en mémoire compatibles avec le déploiement de Cubridge.
Une analyse axée uniquement sur le disque pourrait manquer une grande partie de l'activité, car la chaîne principale s'exécute surtout en mémoire. La télémétrie des terminaux qui conserve la filiation des processus, les événements d'exécution en mémoire, les accès aux données des navigateurs et les connexions sortantes offre une base plus fiable pour identifier la séquence.
Kaspersky rattache FlashHole à l'activité plus large Cascade Hole et le relie à l'opération antérieure Operation SyncHole, avec un niveau de confiance moyen à élevé. Ce lien relève d'une évaluation analytique ; le nom de la campagne, les composants malveillants et l'opérateur attribué restent des éléments distincts du rapport.
