Lazarus帰属の攻撃で耐量子暗号ML-KEMによるマルウェア配信保護が確認されたとする分析

共有鍵を生成し配信ペイロードを復号

Kasperskyはこの作戦をFlashHoleと名付け、Lazarus Groupに帰属させた。
研究者らによると、このキャンペーンはフィッシングページと細工されたGitHubページを通じて韓国の組織を狙い、メモリ内で実行される感染経路を用いた。

LPEClientは指令サーバーのインフラからML-KEM-1024の公開鍵を受け取り、共有鍵を生成して、届くペイロードを復号したとされる。
Kasperskyは韓国の少なくとも3社を特定し、さらに多くの組織が影響を受けた可能性があるとしている。

提供された分析には比較可能な過去の測定値がなく、Lazarusが別の作戦で以前からML-KEMを使用していたかどうかも示されていない。

Kasperskyの分析は、FlashHoleのマルウェア配信通信で、標準化された耐量子暗号方式ML-KEM-1024が使われたと報じている。
報告された経路では、LPEClientが公開鍵を取得し、後続のペイロードを復号したという。

耐量子暗号が隠蔽に使われたとの分析

ML-KEMは、将来の復号を目的に現在データを収集する「今収集して後で復号」型の脅威からデータを守るため、ソフトウェアプロジェクトで使われるNIST承認の耐量子暗号標準である。
この未検証の分析では、その方式がメモリ内実行と組み合わされたマルウェア配信の秘匿に使われたとされる。