Noord-Koreaanse hackers zetten kwantumbestendige cryptografie in

Dat blijkt uit onderzoek van Kaspersky naar Operation FlashHole, een spionagecampagne die volgens het beveiligingsbedrijf sinds minstens juli 2025 loopt. Het onderzoeksteam GReAT presenteerde de bevindingen op 21 oktober op de Security Analyst Summit in Bali, Indonesië. Volgens Kaspersky zijn in Zuid-Korea ten minste drie organisaties getroffen, werkzaam in de bouw, de softwarebranche en de productie van apparatuur voor draadgebonden communicatie. De aanvallers gebruikten spearphishing en misbruikten legitieme software, en zetten bijgewerkte malware in, onder meer twee eerder niet beschreven tools. Kaspersky ziet de campagne als een nieuwe golf van Operation SyncHole, die vorig jaar werd ontdekt. De aanvallers hebben hun gereedschap en technieken sindsdien aangepast, waardoor de campagne volgehouden en geavanceerder is geworden.

Nepcv's als lokmiddel

De aanval begon met phishingmails die doelwitten naar op maat gemaakte portfolio- en cv-websites leidden. De onderzoekers vonden een GitHub Pages-site die bij een GitHub-account hoorde dat als command-and-controlkanaal werd gebruikt. Het account is in september 2025 aangemaakt en toonde eerst het cv van een zogenaamde senior ontwikkelaar van netwerkapparatuur, met een door AI gegenereerde foto. Dat past bij Operation DreamJob, de campagne van Lazarus waarin nepbanen als lokmiddel dienen. Kaspersky denkt dat de aanvallers ook AI inzetten om de valse sites op hun doelwitten af te stemmen.

Volgens het onderzoek is het zeer waarschijnlijk dat een bezoek aan de kwaadaardige site de infectie in gang zette via CrossWeb EX. Dat is een veelgebruikte beveiligingsplug-in en software voor webauthenticatie in Zuid-Korea. Een mogelijke kwetsbaarheid in die software kan het eerste toegangspunt hebben gevormd. Eerder verscheen al een beveiligingsadvies waarin een kwetsbaarheid in deze financiële beveiligingssoftware werd bevestigd. De onderzoekers analyseerden meerdere kwaadaardige onderdelen en reconstrueerden de infectieketen.

Nieuwe tools en bijgewerkte malware

De aanvallers combineerden bestaande malware met twee nieuwe tools, TouchHub en ClientHub. Die installeren extra malware, voeren opdrachten uit op besmette computers en communiceren met de aanvallers, met spionage als doel. Van een van beide tools bestaat een variant die Dropbox gebruikt om met de operators te communiceren.

Ook gebruiken de aanvallers een nieuwe versie van LPEClient, een al langer gebruikt Lazarus-hulpmiddel dat informatie over besmette computers verzamelt en extra malware aflevert. De nieuwe versie verzamelt gegevens over geïnstalleerde beveiligingssoftware, Windows-beveiligingsmaatregelen en andere systeemkenmerken. Die gegevens worden gecomprimeerd en versleuteld verstuurd.

LPEClient gebruikt daarnaast ML-KEM-1024, een post-kwantummechanisme dat communicatie moet beschermen tegen aanvallen met toekomstige kwantumcomputers. Daarmee bouwt de malware een versleutelde verbinding op met de server van de aanvallers, voordat extra malware rechtstreeks in het geheugen wordt gedownload en uitgevoerd. Om detectie te voorkomen past de malware geheugenbeveiligingen aan en schakelt ze een monitoringhook uit die beveiligingssoftware gebruikt om verdachte systeemactiviteit op te sporen.

Gebruik sinds 2024

Kaspersky noemt het gebruik van kwantumbestendige cryptografie opmerkelijk. Het bedrijf heeft het gebruik herleid tot minstens september 2024, ruim een jaar voor de publicatie. Het vermoedt ook dat Lazarus AI toevoegt aan zijn werkwijze, een ontwikkeling die het bij andere aan Lazarus gelieerde groepen heeft gezien. Het volledige rapport is hier beschikbaar.