Kelompok Peretas Lazarus Manfaatkan Kriptografi Pasca-Kuantum untuk Pengiriman Malware

Kelompok peretas asal Korea Utara, Lazarus Group, dilaporkan mulai mengadopsi mekanisme kriptografi pasca-kuantum (post-quantum cryptographic) untuk mengamankan pengiriman muatan berbahaya (payload) dalam serangkaian operasi siber terbarunya. Kampanye yang menggabungkan perangkat perusak lama dan baru ini menyasar berbagai organisasi di Korea Selatan.

Tim peneliti keamanan siber dari Kaspersky menjuluki operasi berbahaya ini sebagai FlashHole. Berdasarkan analisis mendalam, kelompok ancaman tersebut menggunakan mekanisme kriptografi standar NIST yaitu ML-KEM (Module-Lattice-Based Key-Encapsulation Mechanism) guna berkomunikasi dengan server command-and-control (C2) demi menghindari deteksi saat mengirimkan malware.

Kaspersky menemukan bahwa para penyerang memanfaatkan malware LPEClient—yang sebelumnya kerap dikaitkan dengan aktivitas Lazarus—untuk menerima kunci publik ML-KEM-1024 dari infrastruktur C2 mereka, lalu menghasilkan kunci bersama (shared keys) yang memungkinkan malware mendekripsi payload susulan yang masuk.

Rantai Infeksi Kompleks dan Eksploitasi Perangkat Lokal

Kampanye serangan FlashHole ini terdeteksi mulai berjalan sejak Juli 2025. Alur serangannya memanfaatkan halaman phishing yang mengarahkan target ke repositori GitHub yang telah dimodifikasi secara khusus. Halaman tersebut memuat kode JavaScript dari domain eksternal, memicu rantai eksekusi dalam memori (in-memory execution chain) yang melibatkan INISAFE CrossWeb EX, sebuah perangkat lunak keamanan yang populer digunakan di Korea Selatan.

Proses dari alat keamanan tersebut kemudian mengeksekusi biner resmi Windows, fsquirt.exe, untuk menjalankan shellcode yang bertugas memasang TechHub, sebuah downloader yang bertanggung jawab mengambil malware tambahan dari repositori privat GitHub.

Sejauh ini, Kaspersky telah mengidentifikasi setidaknya tiga perusahaan di Korea Selatan dari sektor perangkat lunak, konstruksi, and manufaktur peralatan komunikasi kabel yang menjadi korban, kendati mereka menduga ada jauh lebih banyak organisasi yang terdampak.

Dalam operasi ini, para peneliti juga mendapati sejumlah perangkat baru yang digunakan oleh Lazarus:

• ClientHub: Sebuah loader yang mendukung komunikasi melalui Dropbox serta pertukaran data langsung dengan LPEClient untuk melakukan profiling korban dan mengelabui pemantauan keamanan.
• Cubridge: Backdoor modular yang menyediakan fitur manajemen berkas, eksekusi perintah, pengintaian, pengambilan tangkapan layar, hingga memuat payload tambahan.
• Berbagai perangkat tambahan yang dirancang khusus untuk meretas peramban berbasis Chromium guna mencuri kredensial akun, cookies, dan riwayat penjelajahan.

Sebagian besar kode berbahaya Lazarus dijalankan langsung di dalam memori (in-memory) untuk memperkecil risiko terdeteksi, meskipun mekanisme persistensi tetap meninggalkan beberapa berkas pada diska korban.

Penerapan Kriptografi Pasca-Kuantum pada Serangan Siber

Penggunaan mekanisme kriptografi pasca-kuantum ML-KEM dalam operasi FlashHole menjadi sorotan utama karena teknologi ini merupakan standar yang disetujui NIST guna melindungi data dari ancaman serangan “retas sekarang, dekripsi nanti” (hack now decrypt later).

Analisis teknis menunjukkan bahwa LPEClient memperoleh “susunan bita yang terdiri dari empat blok berukuran 1.568 bita” dari C2, di mana masing-masing blok berisi kunci publik ML-KEM-1024. LPEClient kemudian menghasilkan empat pasang kunci bersama dan ciphertext, mengenkripsi ciphertext tersebut menggunakan algoritma GOST, lalu mengirimkannya kembali ke server C2 melalui ClientHub. Kunci rahasia bersama ini memasok material kunci untuk algoritma enkripsi Threefish guna mendekripsi respons yang memuat parameter serta payload eksekutable akhir berupa backdoor Cubridge.

Kaspersky meyakini bahwa Lazarus menggunakan metode canggih ini dikombinasikan dengan rantai eksekusi dalam memori untuk menekan risiko terdeteksi ke tingkat seminimal mungkin, sekaligus menunjukkan niat kelompok tersebut dalam menyembunyikan payload lanjutan mereka dari analisis keamanan modern.

Sumber: Kaspersky Threat Intelligence