Il gruppo nordcoreano Lazarus ha aggiornato il proprio arsenale offensivo con una mossa che potrebbe segnare un punto di svolta nel cybercrime: l'adozione della crittografia post-quantistica standardizzata dal NIST per proteggere le comunicazioni tra il malware e i server di comando e controllo. La scoperta arriva dall'analisi della campagna FlashHole, che ha preso di mira almeno tre aziende sudcoreane attive nei settori software, edilizia e apparati per comunicazioni cablate.
Come funziona FlashHole
Il cuore dell'attacco è il malware LPEClient, che riceve dal server C2 le chiavi pubbliche ML-KEM-1024 e ne ricava i segreti condivisi necessari a decifrare i payload scaricati. In pratica, gli attaccanti sfruttano uno degli algoritmi post-quantistici appena ratificati dal NIST per rendere le proprie comunicazioni virtualmente inattaccabili anche da parte di computer quantistici futuri. Non si tratta di una semplice curiosità tecnica: è la prima volta che una minaccia avanzata integra uno standard crittografico di nuova generazione nel proprio flusso operativo.
Implicazioni per la difesa
L'uso di ML-KEM-1024 complica non poco il lavoro dei team di sicurezza. Le tradizionali tecniche di intercettazione e analisi del traffico C2 rischiano di diventare inefficaci, perché i dati scambiati tra LPEClient e l'infrastruttura di Lazarus sono protetti con una crittografia progettata per resistere agli attacchi del futuro. Le aziende sudcoreane colpite rappresentano solo l'ultimo esempio di una strategia sempre più sofisticata, che punta a rendere le campagne di spionaggio e sabotaggio più difficili da individuare e neutralizzare. La raccomandazione è chiara: monitorare con attenzione i movimenti laterali e adottare strumenti di rilevamento comportamentale, perché la crittografia post-quantistica è ormai un'arma a doppio taglio, capace di proteggere tanto i dati legittimi quanto le attività malevole.
