El grupo norcoreano Lazarus está incorporando criptografía poscuántica a sus herramientas de ataque. Según un análisis de Kaspersky, una versión actualizada de LPEClient utiliza ML-KEM-1024 para proteger la descarga de cargas maliciosas. La técnica dificulta que terceros descifren el tráfico capturado en el futuro, pero no oculta la actividad del malware en los equipos infectados.

La campaña, denominada Operation FlashHole, estaría activa desde al menos julio de 2025 y habría afectado a tres organizaciones surcoreanas, pertenecientes a los sectores del software, la construcción y la fabricación de equipos de telecomunicaciones.

## Un señuelo profesional y un componente de confianza

La investigación vincula la campaña con un sitio alojado en GitHub Pages y utilizado para comunicaciones de mando y control. En un primer momento, la página presentaba el currículum de un supuesto desarrollador sénior de equipos de red. En enero de 2026, el contenido se sustituyó por una muestra de diseño de interiores, posiblemente dirigida a una empresa del sector de la construcción.

Kaspersky considera, con un nivel de confianza medio-alto, que los objetivos recibieron correos de spear-phishing con enlaces a esas páginas. No obstante, la empresa no pudo determinar con exactitud qué desencadenó la infección. El sitio cargaba JavaScript desde dominios controlados por los atacantes.

La cadena de ataque también involucró INISAFE CrossWeb EX, un programa de seguridad financiera utilizado en Corea del Sur para acceder a numerosos servicios bancarios y gubernamentales en línea. No está claro cómo se abusó de este componente, pero el malware terminó ejecutándose en memoria con privilegios elevados, mediante una versión de CrossWeb EX publicada en 2023.

El uso de software de autenticación y seguridad surcoreano encaja con tácticas atribuidas anteriormente a Lazarus. Kaspersky señala que el grupo ya había abusado de CrossWeb EX en campañas de 2021, 2022 y 2023. En Operation SyncHole, revelada en abril de 2025, se utilizó un programa relacionado, Cross EX, para comprometer al menos seis organizaciones.

El señuelo también podría haber sido elaborado con ayuda de inteligencia artificial. Kaspersky apunta a la ausencia de metadatos EXIF y a la textura poco natural de la fotografía del currículum. La página incluía, además, un nombre genérico y datos de portafolio poco coherentes. Ojun Ryu, investigador sénior de seguridad de Kaspersky GReAT, afirmó que los hallazgos sugieren que Lazarus está incorporando la IA a sus métodos habituales.

## Cuatro intercambios de claves para proteger la carga

El cambio técnico más llamativo está en LPEClient, una herramienta de reconocimiento y entrega de cargas que se conoce desde 2019. En la versión analizada, la herramienta ya no almacena directamente la dirección de su servidor. En su lugar, canaliza el tráfico a través de ClientHub, un cargador recién identificado. Una de sus variantes se comunica con los operadores mediante Dropbox.

LPEClient recopila información sobre los productos de seguridad instalados y el nivel de actualización de Windows. También comprueba si están habilitadas protecciones como Shadow Stack y cifra los datos recopilados con GOST, un estándar criptográfico ruso.

Para proteger la descarga de la siguiente carga, el servidor envía cuatro claves públicas ML-KEM-1024. LPEClient deriva un secreto compartido de cada una y combina los cuatro resultados en una clave de 128 bytes. Esa clave se utiliza con Threefish para descifrar la carga, que se ejecuta directamente en memoria.

ML-KEM-1024 es uno de los conjuntos de parámetros del estándar FIPS 203 del Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST). Está diseñado para resistir ataques de futuros ordenadores cuánticos. Kaspersky destaca que Lazarus parece haber adoptado esta tecnología antes que muchos productos legítimos de seguridad.

La investigación también sitúa el uso de criptografía poscuántica por parte del grupo al menos en septiembre de 2024, poco después de que el NIST finalizara sus primeros estándares de este tipo. Kaspersky no es la única organización que ha observado la técnica: Check Point Research describió en agosto de 2026 un módulo de una campaña distinta que obtenía cuatro claves públicas y utilizaba Kyber/ML-KEM para facilitar la descarga de otra carga maliciosa.

## Protección frente a la descodificación futura, no frente a la detección

La criptografía poscuántica no hace invisible el malware en el dispositivo. Su función es proteger los datos que circulan entre el equipo infectado y la infraestructura de los atacantes. Si alguien capturase ese tráfico hoy, ML-KEM podría dificultar que lo descifrara en el futuro, cuando existan ordenadores cuánticos capaces de poner en riesgo ciertos métodos criptográficos actuales. Este escenario suele describirse como «recopilar ahora y descifrar después».

Por tanto, la técnica no sustituye las medidas de seguridad en los equipos ni impide que las herramientas de protección detecten el comportamiento del malware. El análisis de Kaspersky pudo describir el intercambio de claves y otros detalles de la operación. La empresa también señala indicios de desarrollo especializado: ClientHub utiliza el cifrado de flujo SNOW, una novedad para Lazarus según los investigadores, y copia encabezados de navegadores basados en Chromium para que sus comunicaciones parezcan más legítimas.

Kaspersky cree que el interés por las empresas de software —el único sector afectado tanto en SyncHole como en FlashHole— podría estar relacionado con la búsqueda de código fuente y de vulnerabilidades que permitan preparar nuevos ataques. El informe distingue este objetivo de espionaje de otras operaciones atribuidas al grupo que parecen orientadas a obtener beneficios económicos.

Para las organizaciones, la lección más práctica no está en la criptografía, sino en el método de acceso: un mensaje de phishing convincente y el abuso de un componente de confianza. Conviene verificar los enlaces inesperados incluso cuando conducen a páginas de aspecto profesional, aplicar las actualizaciones con rapidez, retirar componentes innecesarios y limitar los privilegios de las cuentas. También es recomendable vigilar las conexiones a servicios en la nube como GitHub y Dropbox, que pueden utilizarse como canales de comunicación encubiertos.

La capa poscuántica puede proteger el tráfico capturado frente a una eventual descodificación futura, pero no oculta lo que el malware hace una vez que se ejecuta. Por eso, la detección en los dispositivos, junto con la prevención del phishing y una gestión rigurosa de las actualizaciones y los privilegios, sigue siendo esencial.

from Latest from TechRadar https://ift.tt/BjMrL3E
via IFTTT IA