FlashHole : Lazarus utilise la cryptographie post-quantique

FlashHole est une campagne d'espionnage attribuée au groupe nord-coréen Lazarus, qui a intégré la cryptographie post-quantique à l'un de ses outils de malware. C'est ce que révèle une recherche de Kaspersky présentée le 21 octobre 2026 au Security Analyst Summit de Bali. FlashHole prolonge l'opération SyncHole déjà documentée par les chercheurs, avec des techniques renouvelées contre des organisations sud-coréennes, selon BleepingComputer.

Qu'est-ce que l'opération FlashHole ?

Kaspersky rattache FlashHole à une activité plus large nommée Cascade Hole, avec un niveau de confiance moyen à élevé. La campagne cible, depuis juillet 2025, au moins trois organisations sud-coréennes dans les secteurs du logiciel, de la construction et de la fabrication d'équipements de communication filaire. Les chercheurs estiment que le nombre réel de victimes est probablement plus élevé que les cas confirmés.

L'accès initial passe par des pages de phishing qui redirigent les cibles vers des pages GitHub spécialement conçues. Ces pages chargent du JavaScript hébergé sur des domaines externes, qui déclenche une chaîne d'exécution en mémoire exploitant INISAFE CrossWeb EX, un logiciel de sécurité très répandu en Corée du Sud. Le processus de cet outil fait ensuite appel au binaire Windows légitime fsquirt.exe pour exécuter le code malveillant, une technique qui limite les traces laissées sur le disque.

Comment la cryptographie post-quantique intervient-elle ?

Le malware LPEClient, déjà associé à Lazarus par le passé, a été mis à jour pour intégrer l'algorithme post-quantique standardisé par le NIST, ML-KEM-1024. Concrètement, le serveur de commande et contrôle envoie au malware un bloc de quatre clés publiques ML-KEM-1024 de 1 568 octets chacune. LPEClient génère ensuite quatre paires de clé partagée et de texte chiffré, chiffre ces textes avec l'algorithme GOST, puis les renvoie au serveur via un composant nommé ClientHub.

Les clés partagées obtenues servent ensuite de matériel cryptographique pour l'algorithme Threefish, qui déchiffre la réponse du serveur contenant les paramètres et la charge utile exécutable. Selon Kaspersky, ce recours à la cryptographie post-quantique montre que le groupe cherche à masquer ses charges utiles suivantes, une évolution déjà observée chez Lazarus depuis au moins septembre 2024.

Quels outils composent la chaîne d'attaque ?

Outre LPEClient, Kaspersky documente plusieurs composants utilisés dans cette campagne :

Des outils supplémentaires visent les navigateurs basés sur Chromium pour en extraire identifiants, cookies et historique de navigation. Le compte GitHub utilisé pour les communications de commande et contrôle a été créé en septembre 2025, selon Kaspersky.

Un usage de l'intelligence artificielle pour l'ingénierie sociale

Les chercheurs de Kaspersky estiment que les attaquants ont également utilisé l'intelligence artificielle pour adapter leurs faux sites à leurs cibles. Un faux site de dépôt de CV repéré dans cette campagne comportait notamment une photo générée par IA censée représenter un candidat. Sojun Ryu, chercheur senior au sein de l'équipe Kaspersky GReAT, y voit un signe que le groupe intègre désormais l'IA à des méthodes déjà bien établies, une évolution également observée chez d'autres acteurs alignés sur Lazarus.

Cette approche rappelle d'autres campagnes nord-coréennes construites autour de faux processus de recrutement, comme celle détaillée dans notre article sur les faux entretiens d'embauche WaterPlum, qui ciblait également les candidats avec de faux sites convaincants.

Comment se protéger contre ce type de campagne ?

Face à des chaînes d'attaque qui s'appuient massivement sur l'exécution en mémoire et des outils système légitimes, quelques mesures limitent le risque :

• Formez les équipes RH et techniques à la vérification des offres d'emploi et des interlocuteurs avant tout échange de fichiers ou exécution de script, en particulier dans un contexte de recrutement.
• Surveillez les exécutions inhabituelles de binaires Windows légitimes comme fsquirt.exe lancés par des processus inattendus, un signal fort d'abus de binaire natif.
• Inspectez le trafic réseau vers des dépôts GitHub ou des comptes Dropbox inhabituels utilisés comme infrastructure de commande et contrôle.
• Limitez l'exécution de scripts et macros provenant de pages web non vérifiées, et isolez les postes exposés aux candidatures externes.
• Utilisez notre outil d'OSINT sur domaine pour vérifier la réputation d'un domaine ou d'un compte avant d'y accorder la moindre confiance, et notre schéma de compromission pour modéliser et documenter une chaîne d'attaque de ce type.

Pour une vision plus large des groupes étatiques et de leurs méthodes, notre article sur les groupes APT et menaces persistantes avancées replace cette campagne dans le paysage plus général des acteurs soutenus par des États.

Points clés

• Kaspersky attribue l'opération FlashHole au groupe Lazarus, une extension de la campagne SyncHole déjà documentée, active depuis juillet 2025 contre des organisations sud-coréennes.
• Le malware LPEClient utilise désormais l'algorithme post-quantique ML-KEM-1024 pour chiffrer ses échanges avec le serveur de commande et contrôle, avant de déchiffrer sa charge utile avec Threefish.
• La chaîne d'attaque combine phishing, pages GitHub piégées, exécution en mémoire via INISAFE CrossWeb EX et abus du binaire Windows légitime fsquirt.exe.
• Kaspersky soupçonne un usage de l'intelligence artificielle pour générer des faux sites de recrutement plus convaincants, dans la continuité des campagnes nord-coréennes ciblant les candidats à l'embauche.
• Face à ces techniques, la vigilance sur les binaires légitimes détournés et sur l'infrastructure GitHub et Dropbox utilisée reste une des meilleures pistes de détection.