Una campagna malware rivolta alle organizzazioni sudcoreane sta usando la crittografia post-quantistica per proteggere i payload distribuiti dall'infrastruttura di comando e controllo. Kaspersky ha denominato l'operazione FlashHole e l'ha attribuita al gruppo nordcoreano Lazarus, secondo un rapporto di BleepingComputer pubblicato il 21 ottobre 2026.
Secondo quanto riferito, gli attacchi sarebbero iniziati a luglio 2025. Kaspersky ha individuato almeno tre aziende colpite, attive nel settore del software, dell'edilizia e della produzione di apparecchiature per le comunicazioni via cavo. I ricercatori sospettano che siano state compromesse anche altre organizzazioni, ma l'impatto complessivo resta una valutazione e non un numero confermato di vittime.
Il phishing porta a una catena di esecuzione in memoria
FlashHole parte da pagine di phishing che indirizzano le vittime verso pagine GitHub appositamente costruite. Queste pagine caricano JavaScript da domini esterni, avviando una catena a più stadi progettata per mantenere in memoria la maggior parte del codice malevolo.
L'operazione sfrutta INISAFE CrossWeb EX, un prodotto di sicurezza legittimo e diffuso in Corea del Sud. Un processo di INISAFE avvia l'eseguibile Windows legittimo fsquirt.exe, che poi esegue uno shellcode.
Questo shellcode installa TechHub, un downloader incaricato di recuperare altro malware da repository GitHub privati. Le fasi successive introducono diversi componenti distinti:
- TechHub scarica ulteriori strumenti da repository GitHub privati.
- LPEClient profila i sistemi compromessi, cerca di eludere il monitoraggio di sicurezza ed elabora i payload cifrati ricevuti tramite ClientHub.
- ClientHub, descritto come un nuovo loader in questi attacchi, supporta le comunicazioni con Dropbox e lo scambio diretto con LPEClient.
- Cubridge è una backdoor modulare in grado di eseguire ricognizione, gestione dei file, esecuzione di comandi, acquisizione di screenshot e caricamento di payload aggiuntivi.
- Strumenti non nominati per il furto di credenziali prendono di mira i browser basati su Chromium, per recuperare credenziali account, cookie e cronologia di navigazione.
Cubridge viene caricato in modo riflessivo nella memoria dell'host. Sebbene gran parte della catena venga eseguita senza scrivere i suoi componenti principali su disco, i meccanismi di persistenza lasciano alcuni file sul disco.
Questi nomi indicano famiglie malware o componenti distinti all'interno di FlashHole. Kaspersky attribuisce il loro uso in questa campagna a Lazarus, ma non vanno considerati nomi intercambiabili né per l'operatore né per l'operazione.
ML-KEM protegge la fase successiva del payload
Lo scambio crittografico avviene tramite LPEClient. Il malware ottiene dal server di comando e controllo un array di byte composto da quattro blocchi da 1.568 byte ciascuno. Ogni blocco contiene una chiave pubblica ML-KEM-1024.
LPEClient usa queste chiavi per generare quattro coppie distinte di segreti condivisi e testi cifrati. Cifra i testi cifrati con l'algoritmo GOST e li invia al server tramite ClientHub. I segreti condivisi forniscono il materiale di chiave per Threefish, che decifra la risposta del server contenente i parametri di configurazione e il payload eseguibile.
ML-KEM è uno standard di incapsulamento delle chiavi post-quantistico approvato dal NIST, pensato per resistere ai futuri attacchi di sistemi in grado di sfruttare i computer quantistici. In FlashHole, però, il suo scopo immediato è operativo: schermare la distribuzione del malware tra l'host infetto e l'infrastruttura di comando.
Kaspersky ritiene che la combinazione di questo scambio cifrato ed esecuzione residente in memoria sia pensata per ridurre la visibilità sulle fasi successive del payload. La crittografia non elimina le prove comportamentali presenti altrove nella catena, tra cui l'esecuzione anomala dei processi, il caricamento di script esterni, il recupero da GitHub e l'attività associata ai loader e alla backdoor.
Focus difensivo: ascendenza dei processi e attività di rete a stadi
I difensori, in particolare le organizzazioni che usano INISAFE CrossWeb EX, possono concentrare il rilevamento sulla sequenza osservata invece di affidarsi solo all'ispezione dei payload. Tra i comportamenti rilevanti:
- un processo INISAFE che lancia inaspettatamente
fsquirt.exe; - shellcode o altra esecuzione anomala in memoria che segue questa relazione tra processi;
- download da repository GitHub privati associati a un precedente evento di phishing o di caricamento di script;
- traffico Dropbox inatteso da processi coinvolti nella catena dei loader;
- accesso a credenziali, cookie o cronologia di navigazione di Chromium successivo alla compromissione iniziale;
- caricamento riflessivo ed esecuzione solo in memoria, coerenti con il deployment di Cubridge.
La sola scansione orientata al disco potrebbe non rilevare gran parte dell'attività, perché la parte centrale della catena viene eseguita principalmente in memoria. La telemetria degli endpoint che conserva l'ascendenza dei processi, gli eventi di esecuzione in memoria, gli accessi ai dati del browser e le connessioni in uscita offre una base migliore per identificare la sequenza.
Kaspersky colloca FlashHole all'interno della più ampia attività Cascade Hole e la collega alla precedente Operation SyncHole con un grado di confidenza medio-alto. Questa relazione è una valutazione analitica: il nome della campagna, i componenti malware e l'operatore attribuito restano elementi distinti del reportage.
