Lazarus nutzt Post-Quanten-Kryptografie in Malware

Die Hackergruppe Lazarus, die Nordkorea zugeordnet wird, setzt in einer laufenden Spionagekampagne zwei bislang unbekannte Schadprogramme und eine weiterentwickelte Version ihres Werkzeugs LPEClient ein. Das berichtet das Global Research and Analysis Team (GReAT) von Kaspersky, das seine Analyse der Kampagne Operation FlashHole auf dem Security Analyst Summit auf Bali vorgestellt hat. Betroffen sind bislang mindestens drei Organisationen in Südkorea aus der Bauwirtschaft, der Softwarebranche und der Herstellung kabelgebundener Kommunikationsgeräte.

Verschlüsselung gegen Quantencomputer

LPEClient ist ein seit Langem bekanntes Werkzeug der Gruppe, das Informationen über kompromittierte Systeme sammelt und weitere Malware nachlädt. Die neue Version erfasst zusätzlich Angaben zu installierten Sicherheitslösungen, Windows-Schutzmechanismen und weiteren Systemeigenschaften. Die Verbindung zum Server der Angreifer sichert sie mit ML-KEM-1024 ab, einem Verfahren der Post-Quanten-Kryptografie, das auch Angriffen durch künftige Quantencomputer standhalten soll. Über diese Verbindung lädt sie weitere Schadsoftware herunter und führt sie direkt im Arbeitsspeicher aus. Um nicht entdeckt zu werden, verändert sie den Speicherschutz und schaltet einen Überwachungsmechanismus ab, den Sicherheitslösungen zur Erkennung verdächtiger Aktivitäten nutzen.

„Besonders bemerkenswert ist der Einsatz postquantenkryptografischer Verfahren, die auch Angriffen durch künftige Quantencomputer standhalten sollen.”
Sojun Ryu, Senior Security Researcher bei Kaspersky

Nach Angaben der Forscher setzt die Gruppe diese Verfahren bereits seit mindestens September 2024 ein.

Zwei neue Werkzeuge

Zudem fanden die Forscher die bislang undokumentierten Programme TouchHub und ClientHub. Die Angreifer nutzen sie, um weitere Schadsoftware zu verteilen, Befehle auf kompromittierten Systemen auszuführen und mit ihrer Infrastruktur zu kommunizieren. Eine Variante nutzt dafür den Cloud-Speicher Dropbox.

KI-generierter Bewerber als Köder

Als Einstieg dienten gezielte Spear-Phishing-E-Mails mit Links zu gefälschten Websites mit Lebensläufen und Portfolios, die auf die jeweiligen Opfer zugeschnitten waren. Die Forscher entdeckten eine solche Seite auf GitHub Pages, die mit einem im September 2025 angelegten GitHub-Konto verknüpft war. Dieses diente zugleich als Steuerungskanal. Die Seite zeigte den Lebenslauf eines angeblichen Senior-Entwicklers für Netzwerkgeräte mit einem KI-generierten Foto. Gefälschte Stellenangebote und Bewerbungen nutzt Lazarus bereits seit Jahren in der Kampagne Operation DreamJob.

Laut Kaspersky löste bereits der Besuch einer manipulierten Seite mit hoher Wahrscheinlichkeit die Infektion aus. Dabei missbrauchten die Angreifer die Software CrossWeb EX, ein in Südkorea verbreitetes Sicherheits-Plugin zur Authentifizierung im Web, möglicherweise über eine bereits bekannte Schwachstelle. Die Kampagne steht laut Kaspersky in Verbindung mit Operation SyncHole, die das Unternehmen im April 2025 beschrieben hatte. Weitere Details und Indikatoren hat Kaspersky auf seinem Blog Securelist veröffentlicht.

(red/Kaspersky)