Lazarus Abuses South Korean Security Software to Deploy Malware Using Post-Quantum Encryption

Una cam­pa­ña de ci­ber­es­pio­na­je de­no­mi­na­da Ope­ra­tion FlashHo­le ha sido atri­bui­da al Grupo La­za­rus, afec­tan­do a va­rias or­ga­ni­za­cio­nes en Corea del Sur en áreas como la cons­truc­ción, el soft­wa­re y los equi­pos de co­mu­ni­ca­ción. Esta ac­ti­vi­dad re­pre­sen­ta una con­ti­nua­ción de ac­cio­nes pre­vias di­ri­gi­das al sec­tor tec­no­ló­gi­co y fi­nan­cie­ro sur­co­reano, apro­ve­chan­do vul­ne­ra­bi­li­da­des en pro­gra­mas de se­gu­ri­dad lo­ca­les que los usua­rios em­plean obli­ga­to­ria­men­te para ac­ce­der a la banca en línea y a por­ta­les gu­ber­na­men­ta­les.

Para lle­var a cabo las in­fec­cio­nes, los ata­can­tes han uti­li­za­do tác­ti­cas como co­rreos de spear-phishing y si­tios web frau­du­len­tos que in­clu­yen con­te­ni­dos per­so­na­li­za­dos, como per­fi­les pro­fe­sio­na­les fal­sos. Al ac­ce­der a estos si­tios, se des­en­ca­de­na una com­ple­ja ca­de­na de in­fec­ción que abusa de soft­wa­re le­gí­ti­mo y em­plea téc­ni­cas de carga la­te­ral de bi­blio­te­cas para des­ple­gar di­ver­sos pro­gra­mas ma­li­cio­sos y com­po­nen­tes de soft­wa­re espía di­rec­ta­men­te en la me­mo­ria del sis­te­ma, ocul­tan­do así las ope­ra­cio­nes ini­cia­les.

La ofen­si­va in­cor­po­ra múl­ti­ples he­rra­mien­tas ac­tua­li­za­das, tales de des­car­ga­do­res y com­ple­men­tos de con­trol ca­pa­ces de re­co­pi­lar in­for­ma­ción del sis­te­ma, eje­cu­tar co­man­dos y sus­traer ar­chi­vos. Un as­pec­to des­ta­ca­do de esta úl­ti­ma ver­sión del malwa­re es el uso de un al­go­rit­mo crip­to­grá­fi­co post-cuán­ti­co para ase­gu­rar las co­ne­xio­nes con los ser­vi­do­res de los ata­can­tes antes de des­car­gar e im­ple­men­tar car­gas adi­cio­na­les.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el vec­tor ini­cial exac­to de ac­ce­so para FlashHo­le, li­mi­tán­do­se a se­ña­lar in­di­cios re­la­cio­na­dos con pá­gi­nas web ma­li­cio­sas en GitHub.