Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Lazarus hackers use post-quantum cryptography for malware delivery

1 minute de lecture

Mis à jour :

L’opération FlashHole : Lazarus intègre la cryptographie post-quantique

Le groupe Lazarus a lancé la campagne « FlashHole », ciblant des entreprises sud-coréennes via une chaîne d’infection complexe mêlant phishing, exploitation de logiciels légitimes et techniques avancées de dissimulation.

Points clés

  • Innovation cryptographique : Pour la première fois, des attaquants utilisent le mécanisme standardisé ML-KEM-1024 (cryptographie post-quantique) pour sécuriser leurs échanges avec les serveurs de commande et contrôle (C2) et chiffrer leurs payloads.
  • Chaîne d’infection : L’attaque commence par des pages GitHub piégées, utilisant du JavaScript pour détourner l’outil de sécurité INISAFE CrossWeb EX. Ce dernier exécute ensuite le binaire Windows fsquirt.exe pour déployer des téléchargeurs de malware (TechHub).
  • Outillage malveillant :
    • LPEClient : Assure le profilage, la communication C2 chiffrée et le chargement en mémoire.
    • ClientHub : Gère les échanges de données et le support Dropbox.
    • Cubridge : Une porte dérobée modulaire permettant le vol de données, la capture d’écran et l’exécution de commandes.
  • Persistance : Bien que l’exécution soit majoritairement en mémoire pour échapper à la détection, des mécanismes de persistance sur disque ont été identifiés.

Vulnérabilités Aucune CVE spécifique n’est mentionnée dans l’article, l’attaque reposant sur l’exploitation détournée de logiciels légitimes (Living off the Land), de pages GitHub et de vulnérabilités applicatives non précisées dans le logiciel de sécurité INISAFE CrossWeb EX.

Recommandations

  • Surveillance des processus : Auditer l’exécution de binaires système suspects (comme fsquirt.exe) initiée par des outils de sécurité tiers.
  • Filtrage réseau : Surveiller étroitement les communications vers des services de stockage cloud (Dropbox) et les dépôts GitHub provenant de processus non autorisés.
  • Gestion des accès : Appliquer le principe du moindre privilège, car l’utilisation de credentials valides permet aux attaquants de contourner la majorité des solutions de prévention classiques une fois l’accès initial obtenu.
  • Analyse comportementale : Privilégier des outils EDR capables de détecter les injections de code en mémoire (reflective loading) plutôt que la simple détection basée sur les signatures de fichiers.

Source

Vous pourriez aimer