عامل‌های تهدید وابسته به کره شمالی در عملیات جدیدی که با نام FlashHole شناخته می‌شود، از مکانیزم‌های رمزنگاری پساکوانتومی (Post-Quantum Cryptography) برای ایمن‌سازی فرآیند تحویل Payloadهای مخرب استفاده می‌کنند. این کمپین که توسط محققان شرکت Kaspersky شناسایی شده، سازمان‌های کره جنوبی را هدف قرار داده و ترکیبی از بدافزارهای قدیمی و جدید را به کار گرفته است.
مکانیزم رمزنگاری پیشرفته
تحلیل‌ها نشان می‌دهد که این عامل تهدید از استاندارد ML-KEM برای برقراری ارتباط با سرور فرماندهی و کنترل (C2) استفاده می‌کند. بدافزار LPEClient، که پیش از این نیز با Lazarus مرتبط بوده، کلیدهای عمومی ML-KEM-1024 را از زیرساخت C2 دریافت کرده و با تولید کلیدهای مشترک (Shared Keys)، امکان رمزگشایی Payloadهای دریافتی را فراهم می‌کند.
زنجیره سرایت و اجرای بدافزار
این حملات که از جولای ۲۰۲۵ آغاز شده‌اند، از طریق صفحات فیشینگ و هدایت قربانی به صفحات دست‌کاری شده در GitHub انجام می‌شوند. زنجیره سرایت به شرح زیر است:
- اجرای کدهای JavaScript از دامنه‌های خارجی.
- فعال‌سازی زنجیره اجرای در حافظه (In-memory execution) با استفاده از ابزار امنیتی INISAFE CrossWeb EX.
- استفاده از فایل سیستمی
fsquirt.exeبرای اجرای Shellcode. - نصب بدافزار TechHub جهت دریافت بدافزارهای بیشتر از مخازن خصوصی GitHub.
ابزارهای شناسایی شده
در این عملیات، چندین ابزار جدید و تکامل‌یافته مشاهده شده است:
- ClientHub: یک Loader که از پروتکل Dropbox برای تبادل داده‌ها پشتیبانی می‌کند.
- Cubridge: یک Backdoor ماژولار که قابلیت‌های مدیریت فایل، اجرای دستورات، جاسوسی (Reconnaissance) و ثبت اسکرین‌شات را داراست.
- LPEClient: مسئول پروفایل‌سازی از قربانی و دریافت Payloadهای رمزنگاری شده.
استفاده از الگوریتم‌های رمزنگاری مانند GOST و Threefish در کنار استاندارد ML-KEM، نشان‌دهنده تلاش Lazarus برای کاهش حداکثری ریسک شناسایی توسط سیستم‌های امنیتی و مقابله با حملات “اکنون سرقت کن، بعداً رمزگشایی کن” (Harvest Now, Decrypt Later) است. اکثر کدهای Lazarus در حافظه (Memory) اجرا می‌شوند تا ردپای کمتری روی دیسک قربانی باقی بگذارند.
