Северокорейские хакеры из Lazarus начали защищать вредоносное ПО постквантовым шифрованием

Северокорейская группировка Lazarus использует искусственный интеллект для подготовки фишинговых приманок и внедряет постквантовую криптографию в инструменты доставки вредоносного ПО. В рамках кампании Operation FlashHole злоумышленники атаковали как минимум три южнокорейские организации из сфер разработки ПО, строительства и производства телекоммуникационного оборудования. Об этом сообщили исследователи «Лаборатории Касперского».

Резюме несуществующего разработчика

Кампания продолжается как минимум с июля 2025 года. Для первого контакта с жертвами и управления заражёнными системами атакующие создавали поддельные сайты на GitHub Pages. Один из них содержал резюме вымышленного старшего разработчика сетевого оборудования, а в январе 2026 года страницу заменили портфолио по дизайну интерьеров. Исследователи предположили, что ссылки рассылались в целевых фишинговых письмах, а браузер после перехода загружал JavaScript с подконтрольных атакующим доменов. В «Лаборатории Касперского» обратили внимание на признаки генеративного ИИ в подготовке приманок:

• у фотографии в резюме отсутствовали EXIF-метаданные;
• текстура изображения оказалась неестественной;
• имя кандидата напоминало корейский аналог условного Ивана Иванова;
• портфолио состояло из множества не связанных между собой компаний и шаблонных сведений.

Банковская программа как лазейка

Заражение запускалось через INISAFE CrossWeb EX, компонент, который в Южной Корее применяют при работе с интернет-банками и госсервисами. Вредоносная программа запускалась в памяти с повышенными привилегиями, но способ эксплуатации компонента пока не установлен. Южнокорейские программы для банков и аутентификации группировка использовала и раньше, поскольку они широко распространены и обладают нужными системными привилегиями:

• INISAFE CrossWeb EX в 2021, 2022 и 2023 годах;
• родственный Cross EX в Operation SyncHole, раскрытой в апреле 2025 года, где пострадали как минимум шесть организаций;
• уязвимость нулевого дня в MagicLine4NX, другом южнокорейском инструменте аутентификации.

Постквантовая защита для LPEClient

Обновлённая версия LPEClient, инструмента Lazarus с 2019 года для доставки новых компонентов, получила другой механизм связи с управляющей инфраструктурой. Адрес сервера больше не хранится внутри программы, запросы передаются через новый загрузчик ClientHub, а один из его вариантов общается с операторами через Dropbox. Перед загрузкой следующего компонента программа собирает сведения:

• об установленном защитном ПО;
• о версии Windows и уровне обновлений;
• о наличии Shadow Stack, механизма защиты потоков выполнения программ.

Собранные данные шифруются алгоритмами ГОСТ, российского стандарта криптографии. Российским специалистам стоит учитывать, что отечественные алгоритмы уже встречаются в инструментах северокорейской группировки, а их спецификации открыты и доступны любому разработчику.

Для расшифровки следующего компонента сервер передаёт LPEClient четыре открытых ключа ML-KEM-1024. На их основе программа формирует четыре общих секрета, объединяет их в 128-байтовый ключ и расшифровывает блочным шифром Threefish файл, который сразу загружается в оперативную память без сохранения на диск. ML-KEM-1024 входит в стандарт FIPS 203, утверждённый Национальным институтом стандартов и технологий США (NIST) в августе 2024 года.

Расчёт на квантовое будущее

Модель «собери сейчас, расшифруй потом» (Harvest Now, Decrypt Later) предполагает, что злоумышленники перехватывают зашифрованный трафик сегодня и рассчитывают прочитать его после появления мощных квантовых компьютеров. Общедоступные квантовые машины пока не взламывают современный обмен ключами, поэтому ML-KEM не даёт Lazarus возможности мгновенно обходить нынешнюю защиту, а лишь сохраняет конфиденциальность перехваченных данных в перспективе.

По данным «Лаборатории Касперского», признаки постквантовой криптографии в инструментах группировки прослеживаются как минимум с сентября 2024 года. В августе 2026 года Check Point Research описала применение Kyber, предшественника ML-KEM, в другой кампании Lazarus против оборонных предприятий.

ML-KEM закрывает канал передачи данных, но не скрывает действия LPEClient на компьютере жертвы, и аналитики смогли восстановить механизм доставки нагрузки. Для защиты от подобных угроз компаниям рекомендовали:

• проверять неожиданные ссылки, даже если они ведут на внешне профессионально оформленные сайты;
• своевременно устанавливать обновления;
• удалять ненужные системные компоненты;
• ограничивать привилегии пользователей;
• следить за подключениями к GitHub и Dropbox, поскольку легитимные облачные платформы могут служить каналом управления вредоносным ПО.

Поддельное резюме и портфолио на GitHub Pages можно собрать под любую отрасль, поэтому российским ИТ-компаниям, которые нанимают специалистов дистанционно, имеет смысл открывать присланные ссылки в изолированной среде.

Эксперты CISOCLUB отметили, что постквантовое шифрование пока служит атакующим заделом на будущее, а не способом обойти нынешнюю защиту, поэтому обнаружение заражения остаётся задачей систем контроля конечных устройств. Поддельные страницы на GitHub Pages могут проходить мимо почтовых фильтров, потому что ссылки ведут на легитимную облачную площадку. Генеративный ИИ снижает стоимость целевой рассылки, ведь правдоподобные профили собираются быстро и дёшево. Компаниям с долгоживущими данными, от исходного кода до коммерческой тайны, стоит составить перечень используемых алгоритмов и заранее определить, какие из них придётся заменить. Переход на постквантовые стандарты лучше начинать до появления соответствующих машин.

Ранее сообщалось, что кошельки, которые аналитики блокчейна связывают с северокорейской группировкой Lazarus Group, за три недели провели через децентрализованную биржу Hyperliquid биткоины на сумму более $30 млн. Криптовалюту конвертировали в Ethereum и Solana, после чего переводили на централизованные биржи Kraken, LBank и KuCoin. Такая последовательность операций позволяет затруднить отслеживание происхождения средств: сначала их перемещают через DEX-площадку без проверки личности пользователей (KYC), затем переводят между блокчейнами и в конечном итоге выводят на биржи с полноценной верификацией.