Lazarus攻击韩国企业时改用后量子加密

卡巴斯基10月21日在Securelist网站发布的报告称，名为FlashHole的攻击活动始于2025年7月。该活动攻击了至少3家韩国企业，分别从事软件、建筑和有线通信设备制造。卡巴斯基表示确信受影响机构远不止于此，但无法给出数字。它以中高置信度将该活动归于Lazarus，认为其与此前开展SyncHole行动的是同一组织。

入侵点并非供应商遭到攻破，而是韩国网银强制要求安装的INISAFE CrossWeb EX软件。钓鱼页面把受害者引向GitHub上的伪造页面。随后，一条在内存中运行的攻击链借助该软件的进程，触发Windows合法文件fsquirt.exe。最终载荷是名为Cubridge的模块化后门，具备文件管理、命令执行和截屏功能。

报告的新发现在于加密。据BleepingComputer 10月21日报道，名为LPEClient的工具会从指挥服务器接收4个ML-KEM-1024公钥，每个长1,568字节。ML-KEM是美国国家标准与技术研究院（NIST）认定可抵御量子计算机的密钥交换标准。卡巴斯基指出，该组织采用这一标准的速度比许多正规安全产品还要快。

时间点同样值得注意。据卡巴斯基，韩国政府和安全企业2026年7月曾就Lazarus的手法联合发布警告。强制安全软件的分阶段取消计划也于2026年启动。也就是说，攻击者利用的正是一个即将被取消、但2026年仍在用户电脑后台运行的软件层。