Lazarus, Güney Kore saldırılarında zararlıyı kuantum sonrası ML-KEM şifrelemesiyle gizliyor

BleepingComputer'ın 21 Ekim 2026'da aktardığı Kaspersky araştırmasına göre Kuzey Kore bağlantılı Lazarus Group, Güney Koreli kurumlara yönelik saldırılarında zararlı yazılım teslimatını gizlemek için kuantum sonrası kriptografi kullanıyor. Kaspersky'nin FlashHole adını verdiği ve Temmuz 2025'ten bu yana süren kampanya, arka kapıyı teslim eden veri alışverişini korumak için NIST onaylı kuantum sonrası anahtar kapsülleme standardı ML-KEM'den yararlanıyor.

Neler oldu?

BleepingComputer'a göre Kaspersky, yazılım, inşaat ve kablolu iletişim ekipmanı üretimi sektörlerinde en az üç kurban belirledi ve çok daha fazla kurumun etkilendiğinden şüpheleniyor. Araştırmacılar FlashHole'u Cascade Hole adını verdikleri daha geniş bir faaliyet kümesine yerleştiriyor ve yine Güney Kore'yi hedef alan önceki Lazarus kampanyası Operation SyncHole ile orta-yüksek güvenle ilişkilendiriyor.

Enfeksiyon zinciri, kurbanları özel hazırlanmış GitHub sayfalarına yönlendiren oltalama sayfalarıyla başlıyor. Bu sayfalar harici alan adlarından JavaScript yükleyerek, Güney Kore'de yaygın kullanılan güvenlik ürünü INISAFE CrossWeb EX'i de içeren bellek içi bir yürütme zincirini tetikliyor. Bu aracın süreci, meşru Windows dosyası fsquirt.exe'yi çalıştırıyor ve bu dosya da shellcode yürütüyor. BleepingComputer'ın aktardığına göre zincirin büyük kısmı bellekte çalışıyor; yalnızca kalıcılık mekanizmaları diskte bazı dosyalar bırakıyor.

Teknik detaylar

Kaspersky araç setinde şu bileşenleri tanımlıyor:

• TechHub: Özel GitHub depolarından ek zararlılar indiren bir indirici.
• ClientHub: Dropbox üzerinden iletişimi destekleyen ve LPEClient ile doğrudan veri alışverişi yapan bir yükleyici.
• LPEClient: Daha önce de Lazarus ile ilişkilendirilen; kurbanların profilini çıkaran, şifreli yükleri alan ve izlemeden kaçan zararlı.
• Cubridge: Dosya yönetimi, komut çalıştırma, keşif, ekran görüntüsü alma ve ek yük yükleme özelliklerine sahip modüler bir arka kapı.
• Tarayıcı hırsızları: Chromium tabanlı tarayıcılardan kimlik bilgileri, çerezler ve gezinme geçmişi çalan araçlar.

Kuantum sonrası şifreleme LPEClient içinde kullanılıyor. BleepingComputer'a göre zararlı, komuta-kontrol sunucusundan dört adet ML-KEM-1024 açık anahtarı alıyor, dört paylaşılan sır ve şifreli metin üretiyor, şifreli metinleri GOST algoritmasıyla şifreleyip ClientHub üzerinden geri gönderiyor. Paylaşılan sırlar ardından Threefish şifresi için anahtar malzemesi sağlıyor; sunucunun yapılandırma parametreleri ve Cubridge yükünü içeren yanıtı bu şekilde çözülüyor. LPEClient, Cubridge'i belleğe yansıtıcı yöntemle yüklüyor.

Kaspersky, bu yöntemin bellek içi yürütmeyle birleşince tespit riskini en aza indirdiğini ve kuantum sonrası şifreleme kullanımının, grubun ileri aşama yüklerini ağ trafiğini kaydeden analistlerden gizleme niyetini gösterdiğini değerlendiriyor.

Kimler etkileniyor?

Kampanya Güney Koreli kurumları hedef alıyor; doğrulanmış kurbanlar yazılım, inşaat ve iletişim ekipmanı üretimi sektörlerinde. INISAFE CrossWeb EX gibi Güney Kore'ye özgü web güvenlik eklentilerini kullanan kurumlar grubun özellikle ilgisini çekebilir.

Ne yapmalı?

BleepingComputer'ın haberinde Kaspersky'den özel bir tespit rehberi yer almıyor. Anlatılan zincire göre savunma ekipleri, güvenlik eklentisi süreçleri ve fsquirt.exe altında olağan dışı alt süreç veya shellcode etkinliğini izleyebilir; normalde kullanmayan uç noktalardan özel GitHub depolarına ve Dropbox'a giden bağlantıları inceleyebilir ve web güvenlik eklentilerini güncel tutabilir. Şifreli teslimat yükleri ağ üzerinde gizlediği için bu kampanyada uç nokta bellek taraması ve davranış tabanlı tespit, ağ incelemesinden daha belirleyici.