北京
抗量子加密，本来是给"现在偷、以后解"准备的防御手段。结果先把它用在投毒链上的，是一群朝鲜黑客。
卡巴斯基把这次行动命名为 FlashHole，归因于 Lazarus 组织。攻击目标指向韩国机构，感染链被研究人员形容为"相当复杂"。攻击起点在 2025 年 7 月，靠钓鱼页面把目标引向特制的 GitHub 页面。
这些页面从外部域名加载 JavaScript 代码，触发一条内存内执行链。链条上出现了一个熟悉的名字：INISAFE CrossWeb EX，一款在韩国普及的安全工具。这个工具的进程被用来执行合法的 Windows 二进制文件 fsquirt.exe，再由它运行 shellcode，装上名为 TechHub 的下载器。TechHub 的任务是从私有 GitHub 仓库里取回后续恶意软件。
卡巴斯基确认了至少三家韩国公司受影响，分别属于软件、建筑和有线通信设备制造行业，同时怀疑实际波及范围远不止于此。
密钥从服务器那头来
整个链条里最反常的一环，是恶意软件和命令控制服务器之间的通信方式。攻击者用上了标准化的 ML-KEM 抗量子加密机制，来保障载荷投递。
具体路径是这样的：
- LPEClient 从 C2 基础设施接收 ML-KEM-1024 公钥
- 它据此生成共享密钥，用来解密随后到达的载荷
- 技术分析显示，LPEClient 从 C2 拿到"一个由四个 1,568 字节块组成的字节数组"，每块含一个 ML-KEM-1024 公钥
- LPEClient 从这些块生成四对不同的共享密钥和密文，用 GOST 算法加密密文，再经 ClientHub 传回 C2 服务器
- 这些共享密钥为另一种加密算法 Threefish 提供密钥材料，由它解密包含参数和可执行载荷的响应
最终载荷是 Cubridge，由 LPEClient 反射式加载进主机内存。
卡巴斯基的判断是，Lazarus 把这种方法和内存内执行链搭配使用，目的是把检测风险压到最低。"使用抗量子加密表明，该组织意图隐藏后续载荷。"
老工具，新包装
LPEClient 此前就与 Lazarus 有关联。这次它多了一个搭档 ClientHub，一个支持 Dropbox 通信、也能与 LPEClient 直接交换数据的加载器。分工是：LPEClient 负责给受害者画像，通过 ClientHub 接收加密载荷，并规避安全监控。
Cubridge 则是一个模块化后门，提供文件管理、命令执行和侦察能力，还支持截屏和在受感染系统上加载额外载荷。攻击中还出现了针对基于 Chromium 的浏览器的工具，目标是账号凭据、cookie 和浏览历史。
研究人员指出，Lazarus 的大部分代码在内存中运行，但持久化机制仍会在受害者磁盘上留下一些文件。
ML-KEM 之所以扎眼，是因为它是美国国家标准与技术研究院（NIST）批准的标准，已被多个软件项目采用，用途本是保护数据免遭"现在偷、以后解"的攻击。同一套标准，被攻方拿去锁自己的投递通道，防的是中途被截获和解析。
卡巴斯基把 FlashHole 归入更广泛的 Cascade Hole 活动，并以中高置信度将其与早前的 Operation SyncHole 关联。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
