СреднийII Кибервойна и критическая инфраструктура21 октября 2026 г., среда
Lazarus перешла на постквантовое шифрование в атаках на Южную Корею
Согласно отчёту Kaspersky о кампании FlashHole, опубликованному 21 октября, связанная с КНДР группа Lazarus атаковала в Южной Корее не менее 3 компаний через обязательное банковское защитное ПО и защищала полезную нагрузку алгоритмом ML-KEM-1024.
Согласно отчёту, опубликованному Kaspersky на сайте Securelist 21 октября, кампания FlashHole началась в июле 2025 года и поразила не менее 3 южнокорейских компаний, работающих в сфере ПО, строительства и производства оборудования проводной связи. Kaspersky пишет, что уверен в гораздо большем числе пострадавших организаций, но назвать его не может. Кампанию компания со средне-высокой уверенностью приписывает Lazarus — тому же актору, что провёл более раннюю операцию SyncHole.
Точка входа — не взлом поставщика, а программа INISAFE CrossWeb EX, обязательная в Южной Корее для онлайн-банкинга. Фишинговые страницы перенаправляют жертву на поддельные страницы на GitHub; цепочка, работающая в памяти, через процесс этой программы запускает легитимный файл Windows fsquirt.exe. Финальная нагрузка — Cubridge, модульный бэкдор, умеющий управлять файлами, выполнять команды и делать снимки экрана.
Новая находка отчёта — шифрование. По данным BleepingComputer от 21 октября, инструмент LPEClient получает с командного сервера 4 открытых ключа ML-KEM-1024 по 1568 байт каждый. ML-KEM — стандарт обмена ключами, который Национальный институт стандартов и технологий США (NIST) признаёт устойчивым к квантовым компьютерам. Kaspersky отмечает, что группа внедрила этот стандарт быстрее многих легитимных защитных продуктов.
Примечательно и время. По данным Kaspersky, правительство Южной Кореи и компании по безопасности в июле 2026 года выпустили совместное предупреждение о техниках Lazarus. План поэтапного отказа от обязательного защитного ПО стартует в 2026 году. Иными словами, атакующие используют слой, который вот-вот уберут, но который в 2026 году всё ещё работает в фоне на компьютерах пользователей.
Оценка Talay
Вывод
FlashHole показывает две вещи одновременно. Lazarus превращает обязательное в Южной Корее защитное ПО в поверхность атаки и скрывает доставку нагрузки постквантовым стандартом. Это снижает ценность защиты, основанной на анализе сетевого трафика; бремя обнаружения смещается к конечным точкам и анализу памяти. Наиболее вероятный путь — кампания продолжится, пока в 2026 году не уберут обязательное ПО.
Возможные последствия
- Оборона и цепочки поставок КореиНегативно1–6 месяцев
Среди жертв — производитель оборудования проводной связи; закрепление Lazarus у поставщиков связи и ПО создаёт риск перехода к более крупным клиентам.
- Обнаружение по сетевому трафикуНегативно1–6 месяцев
Нагрузка, защищённая 4 ключами ML-KEM-1024, фактически ослепляет сетевые средства защиты, которые расшифровывают и анализируют трафик.
- Политика обязательного ПОПозитивноБолее 6 месяцев
То, что атака идёт через INISAFE CrossWeb EX, усиливает аргумент в пользу ускорения плана отказа, стартующего в 2026 году.
Вероятные сценарии
- 1Кампания расширяется55 %
Новые жертвы выявляются и за пределами сфер ПО и связи, корейские власти выпускают дополнительное предупреждение.
Что отслеживать: Новое предупреждение Корейского агентства интернета и безопасности (KISA) о FlashHole или CrossWeb EX
- 2План отказа ускоряется30 %
Правительство переносит на более ранний срок отказ от обязательного защитного ПО, и атакующий теряет эту точку входа.
Что отслеживать: Уведомление Комиссии по финансовым услугам банкам об изменении графика
- 3Группа меняет тактику15 %
После отчёта инфраструктура брошена, и тот же актор начинает новую кампанию через другое местное ПО.
Что отслеживать: Новый отчёт Kaspersky или корейских компаний по безопасности о кампании Lazarus
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Подтверждённые компании-жертвы▲ Не менее 3
- Блок открытых ключей ML-KEM▲ 4 × 1568 байт