拉撒路黑客组织运用后量子密码技术投递恶意软件

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月22日 09:13
北京

去阅读

朝鲜黑客在新一轮攻击行动中，结合新旧恶意软件，采用后量子密码机制来保障恶意载荷的投递安全。

该攻击行动通过一套相当复杂的感染链针对韩国各类机构。网络安全公司卡巴斯基的研究人员将此次行动命名为FlashHole（闪洞行动），并认定攻击幕后为拉撒路组织。

对恶意软件的分析显示，该威胁团伙使用标准化的ML‑KEM后量子密码机制，与命令与控制服务器（C2）通信，完成恶意软件载荷投递。

卡巴斯基表示，攻击者使用此前就与拉撒路组织相关联的LPEClient恶意程序，从命令控制服务器获取ML‑KEM‑1024公钥，生成共享密钥，以此解密后续传入的恶意载荷。

研究人员称，攻击始于2025年7月，攻击者利用钓鱼页面诱导目标访问特制的GitHub页面。

这些页面会加载外部域名的JavaScript代码，触发内存内执行链，该过程会调用韩国广泛使用的安全工具INISAFE CrossWeb EX。

这款安全工具会运行Windows合法程序 fsquirt.exe ，该程序执行shellcode，部署下载器TechHub。TechHub负责从私有GitHub仓库获取更多恶意软件。

卡巴斯基已确认韩国至少三家企业遭到攻击，分别属于软件、建筑、有线通信设备制造行业，同时怀疑还有大量机构受到波及。

本次攻击还出现了新工具ClientHub，这是一款加载器，既支持通过Dropbox通信，也可以和LPEClient直接交换数据。

研究人员介绍，LPEClient会收集受害者设备信息，经由ClientHub接收加密载荷，同时规避安全监控。

攻击中还出现Cubridge模块化后门程序，具备文件管理、命令执行、侦察探测功能，还可以截图、向受感染主机加载更多载荷。

卡巴斯基还发现专门针对基于Chromium内核浏览器的工具，用于窃取账号凭证、Cookie以及浏览记录。

研究人员表示，拉撒路组织的大部分代码都在内存中运行，但持久化驻留机制仍会在受害者磁盘留下部分文件。

后量子加密技术的运用

在闪洞行动中，ML‑KEM后量子密码机制的使用格外值得关注。该算法是美国国家标准与技术研究院（NIST）批准的标准，已经被多款软件项目采用，用来抵御“先窃取、后解密”攻击。

技术分析表明，LPEClient从命令控制服务器获取一组字节数组，包含4个大小为1568字节的数据块，每块都携带一份ML‑KEM‑1024公钥。

卡巴斯基解释道：“LPEClient利用这些数据块生成4组独立的共享密钥与密文，使用GOST算法加密密文，再通过ClientHub上传至命令控制服务器。”

这些共享密钥会作为Threefish加密算法的密钥材料，用来解密返回数据，其中包含配置参数与可执行恶意载荷。

最终得到的载荷就是Cubridge，由LPEClient通过反射加载的方式注入主机内存。