朝鲜Lazarus黑客采用后量子加密，隐藏恶意载荷躲避安全工具

FreeBuf

2026年10月23日 18:08
上海

去阅读

与朝鲜存在关联的Lazarus黑客组织，在恶意软件投递链中使用后量子密码技术，躲避安全工具检测，隐藏后续阶段的恶意载荷。

研究人员在代号Operation FlashHole的攻击活动中发现了这一手法，该活动主要瞄准韩国境内机构。恶意软件并未单纯依靠磁盘文件加密实现隐藏，而是采用现代密钥建立机制，保护从C2基础设施下发的载荷。

此次攻击链结合了钓鱼攻击、韩国本土可信软件、多个恶意软件家族，以及主要在内存中运行的恶意代码。

卡巴斯基的调查显示，韩国软件、建筑、有线通信设备领域至少有三家机构受到影响。目前已知该活动最早可追溯至2025年7月。

Securelist的分析人员识别出这批恶意软件，并将相关活动命名为Operation FlashHole。报告显示，Lazarus滥用了名为CrossWeb EX的金融安全程序——该程序是用户访问部分韩国银行、政府网站时所需的安全控件。

Securelist目前尚未确认该软件被滥用的具体路径，但已追踪到恶意代码在其进程下运行的痕迹。这种手法与Lazarus此前针对韩国安全软件、软件供应链的攻击特征一致。

Part01

定向钓鱼突破初始访问

此次攻击很可能始于定向钓鱼邮件，邮件会诱导受害者访问伪造简历、室内设计页面等定制化恶意网站。

Securelist在这些网站中发现了嵌入的恶意链接，评估认为用户访问链接后就可能触发感染流程。研究人员还注意到，某简历页面中的一张图片存在AI生成的痕迹。

目前研究人员尚未还原初始入侵的全部步骤，因此每种诱饵的具体作用仍属于评估结论，尚未得到完全证实。

获得初始访问权限后，攻击链利用合法Windows软件和内存执行技术，尽可能减少磁盘上留下的痕迹。此次攻击使用的恶意组件包括TechHub、TouchHub、TouchShift、ClientHub、LPEClient和Cubridge。

TechHub负责投递后续组件，其他工具分别负责实现持久化驻留、系统信息探测、载荷投递等功能。Cubridge充当核心控制模块，可加载独立的功能模块和插件，无需依赖单一的大型后门程序。

这种模块化设计对攻击者十分有利，可针对特定设备仅部署所需的功能模块。Securelist分析显示，这些工具可收集系统与进程信息、搜索文件，还能窃取浏览器中存储的密码、Cookie、书签、浏览历史等数据。

研究人员还发现，部分组件通过GitHub等合法平台通信，其他组件则利用被入侵网站或Dropbox进行通信。此前Lazarus攻击软件供应商的案例已经表明，涉及可信软件和供应链的攻击活动，影响范围往往不止初始受害机构。

Part02

采用ML-KEM加密载荷

此次攻击最值得关注的技术变化出现在LPEClient中，这是Lazarus常用的一款恶意软件家族，主要用于探测受感染计算机信息、投递后续载荷。在本次活动中，LPEClient会从C2服务器获取四个ML-KEM-1024公钥块。

恶意程序利用这些公钥块建立共享密钥，再通过ClientHub将相关密文回传至C2。生成的共享密钥会用于保护后续载荷的传输与解密过程。

ML-KEM是一种密钥封装机制，可让通信双方在公开信道上建立共享密钥，后续可配合对称加密使用。NIST已在FIPS 203标准中将该方法标准化，ML-KEM-1024是其规定的参数集之一。

攻击者使用这一机制并不代表其拥有量子计算机，该算法的设计目标是抵御未来量子计算机可能发起的密码破解攻击。

Securelist报告显示，恶意软件会利用建立好的共享密钥配合Threefish算法解密后续载荷，再将载荷加载到内存中运行。报告还提到，在后续载荷运行前，恶意程序会使用多种技术干扰安全监控。

这些细节提醒防御方，不应将后量子密码技术本身视为威胁，真正需要警惕的是攻击者将其整合到完整攻击链中，结合隐蔽手段、可信软件滥用和分阶段载荷投递实现绕过。

韩国境内机构应排查金融安全软件的使用情况与暴露面，及时更新软件版本，同时监控可信应用是否产生异常子进程、或出现非预期的内存活动。

安全团队还可监测平时无需访问GitHub、Dropbox的系统是否出现对这些平台的异常访问，将端点告警与异常Web流量关联分析。这类检测手段对主要在内存运行、极少留下文件痕迹的恶意软件尤为有效。

这一案例带来的更广泛启示是，恶意软件防御不能仅依赖已知文件特征签名，必须结合行为与上下文分析。Lazarus在此次攻击中结合了定制化诱饵、合法软件滥用、类浏览器网络流量和多层加密手段。

此前Lazarus针对无人机企业的攻击，也体现出该组织会针对不同行业定制攻击手法。基于攻击目标和恶意代码的相似性，Securelist以中高置信度评估认为，FlashHole活动与此前的Operation SyncHole行动存在关联。

Part03

公布本次攻击IoC

注：文中IP地址和域名均已做去活化处理（例如使用[.]替代.），防止意外解析或跳转。请仅在MISP、VirusTotal或内部SIEM等受控威胁情报平台中还原地址。

参考来源：

North Korean Hackers Use Post-Quantum Encryption to Hide New Malware From Security Tools

https://thehackernews.com/2026/10/north-korean-hackers-use-post-quantum.html

推荐阅读

电报讨论