Lazarus: FlashHole ใช้ Post-Quantum Crypto ซ่อน payload Medium

ML-KEM-1024 | LPEClient / TechHub / Cubridge | เป้าหมายเกาหลีใต้

เป้าหมายที่ยืนยันอยู่ในเกาหลีใต้และพึ่งซอฟต์แวร์เฉพาะของเกาหลี ยังไม่มีรายงานการโจมตีในไทย

Kaspersky เผยแพร่รายงาน Operation FlashHole ของกลุ่ม Lazarus ที่โจมตีองค์กรในเกาหลีใต้อย่างน้อย 3 แห่งในกลุ่มซอฟต์แวร์ ก่อสร้าง และผลิตอุปกรณ์สื่อสาร หลักฐานแรกสุดย้อนไปถึง ก.ค. 2025 เริ่มจากหน้า phishing ที่พาไปยัง GitHub page ที่โหลด JavaScript อันตราย แล้วใช้ซอฟต์แวร์ความปลอดภัย INISAFE CrossWeb EX รัน shellcode ฉีด TechHub เข้า fsquirt.exe ต่อด้วย TouchHub, TouchShift, ClientHub, LPEClient โดยมี Cubridge เป็นตัวควบคุม และโซ่การทำงานช่วงแรกอยู่ในหน่วยความจำเท่านั้น LPEClient ใช้ ML-KEM-1024 (post-quantum KEM ที่ NIST กำหนดมาตรฐาน) แลกกุญแจกับ C2 เพื่อปกป้อง payload ขั้นถัดไป ทำให้การวิเคราะห์ทราฟฟิกยากขึ้น