Kaspersky entdeckt Post-Quanten-Kryptografie in Lazarus-Malware

Kryptografie, die künftigen Quantencomputern standhalten soll, hilft nordkoreanischen Hackern bereits dabei, die Zustellung von Malware zu schützen.

Kasperskys Global Research and Analysis Team (GReAT) machte am 21. Oktober die Operation FlashHole öffentlich und schrieb die Cyberspionagekampagne der Lazarus-Gruppe zu. Die Forscher identifizierten mindestens drei betroffene Organisationen in den südkoreanischen Branchen Bauwesen, Software und Herstellung von kabelgebundener Kommunikationsausrüstung.

Laut dem technischen Bericht von Kaspersky, geht die Kampagne mindestens auf den Juli 2025 zurück. Ein aktualisiertes Lazarus-Tool namens LPEClient verwendet ML-KEM-1024, einen vom US National Institute of Standards and Technology standardisierten Post-Quanten-Mechanismus, um geheime Schlüssel zu erzeugen, die zusätzlich an infizierte Systeme gelieferte Malware schützen.

Für Sicherheitsteams in Unternehmen reicht die Bedeutung über diese Kampagne hinaus: Stärkere Kryptografie kann auch die Kommunikation der Angreifer schützen. Die Erkennung des Eindringens hängt weiterhin davon ab, verdächtige Aktivitäten rund um den verschlüsselten Austausch zu identifizieren.

Wie FlashHole den Post-Quanten-Schlüsselaustausch nutzt

Kaspersky beschreibt den Angriff in mehreren Phasen:

• Köder: Kaspersky geht davon aus, dass die Ziele Spear-Phishing-E-Mails mit Links zu gefälschten, auf sie zugeschnittenen Portfolio- und Lebenslauf-Websites erhielten.
• Einstieg: Der Besuch einer schädlichen Website löste wahrscheinlich eine Infektion aus, an der CrossWeb EX beteiligt war, eine in Südkorea weit verbreitete Finanzsicherheitssoftware. Die Forscher konnten weder den genauen Auslöser noch die Art des Missbrauchs der Software feststellen.
• Neue Tools: Zwei bislang undokumentierte Tools, TouchHub und ClientHub, installieren zusätzliche Malware, führen Befehle auf infizierten Computern aus und kommunizieren mit den Angreifern.
• Schlüsselaustausch: Das aktualisierte LPEClient empfängt vier öffentliche ML-KEM-1024-Schlüssel und erzeugt vier gemeinsame Geheimnisse. Diese bilden den Schlüssel, den die Threefish-Chiffre zum Entschlüsseln der nächsten Nutzlast verwendet.

Mit Blick auf den umfassenderen Einsatz von Post-Quanten-Kryptografie durch Lazarus sagte Sojun Ryu, leitender Sicherheitsforscher bei Kaspersky GReAT: „Unsere Erkenntnisse belegen, dass sie mindestens seit September 2024 eingesetzt wird. Das zeigt, dass diese Fähigkeiten die Malware-Kommunikation der Gruppe bereits mehr als ein Jahr vor dieser Veröffentlichung schützten.“

Eine zweite Lazarus-Kampagne mit ML-KEM

FlashHole folgt auf eine weitere Lazarus-Kampagne, die denselben Standard verwendete. Im August berichtete Check Point Research , dass Malware in einer Operation-Dream-Job-Kampagne, die das Unternehmen Lazarus zuschrieb, den Kyber/ML-KEM-Schlüsselaustausch nutzte, bevor sie einen Exploit für eine Windows-Zero-Day-Schwachstelle, CVE-2026-68820, herunterlud. Microsoft schloss die Sicherheitslücke am 11. August.

Beide Veröffentlichungen erfolgten, während Regierungen die Umstellung auf Post-Quanten-Kryptografie beschleunigten. Eine im Juni erlassene US-Executive-Order weist Bundesbehörden an, für hochwertige Anlagen und Systeme mit großer Auswirkung – ausgenommen Systeme der nationalen Sicherheit – bis zum 31. Dezember 2030 eine Post-Quanten-Schlüsseleinrichtung und bis zum 31. Dezember 2031 digitale Signaturen einzuführen.

Warum Post-Quanten-Verschlüsselung allein kein Bedrohungsindikator ist

Der Post-Quanten-Schlüsselaustausch ist inzwischen in legitimen Netzwerken alltäglich. berichtete Cloudflare, dass der Anteil des von Menschen erzeugten Webverkehrs in seinem Netzwerk, der Post-Quanten-Verschlüsselung nutzt, von 29 % Anfang 2025 auf 52 % Anfang Dezember stieg. Ein Post-Quanten-Handshake allein sagt einem Sicherheitsteam wenig.

Die Einführung in Unternehmen variiert je nach kryptografischer Funktion. Der Bericht von MITRE vom September, der auf im Juli 2026 gesammelten Belegen basiert, stellte in fünf von sechs einschlägigen Technologiekategorien Unterstützung für die Einrichtung von Post-Quanten-Schlüsseln in allgemein verfügbaren Produkten fest, gegenüber zwei von acht bei digitalen Signaturen. Der Wert für Signaturen misst eine andere Fähigkeit als die von Lazarus verwendete Schlüsseleinrichtung.

Die Erkenntnisse von eWeek: Stärkere Verschlüsselung hinterlässt weiterhin Spuren

FlashHole zeigt, dass stärkere Verschlüsselung und erkennbare Aktivitäten eines Eindringens nebeneinander bestehen können. Kaspersky dokumentierte, dass CrossWeb EX eine legitime Windows-Binärdatei startete und schädlicher Code im Arbeitsspeicher ausgeführt wurde. Der Schutz der Nutzlast-Zustellung löscht diese Begleitaktivitäten nicht aus.

Unsere Einschätzung lautet, dass Organisationen den Bericht nutzen sollten, um die Abdeckung ihrer Erkennung zu testen. Können ihre Sicherheitstools einen ungewöhnlichen Prozessstart mit anschließenden Aktivitäten im Arbeitsspeicher und verdächtiger Kommunikation in Verbindung bringen? Ein sinnvoller Test sollte die Abfolge untersuchen, denn weder Verschlüsselung noch der Zugriff auf einen legitimen Cloud-Dienst belegen für sich genommen eine bösartige Absicht.

Die Umstellung auf Post-Quanten-Kryptografie löst ein anderes Problem: den Schutz legitimer Systeme vor künftigen kryptografischen Angriffen. Eine im Oktober öffentlich zugänglich gemachte Prüfung des GAO ergab, dass nur eine von 24 großen Bundesbehörden ihre Maßnahmen zur Erfassung des Kryptografiebestands vollständig umgesetzt hatte. Die Prüfung wurde jedoch im September 2025 abgeschlossen, daher sollten diese Ergebnisse nicht als aktueller Bereitschaftswert interpretiert werden.

Für Führungskräfte in Unternehmen bedeutet das in der Praxis, die Umstellung und die Erkennung von Eindringversuchen gemeinsam voranzutreiben. Beschaffungsteams sollten Belege dafür verlangen, dass Produkte die benötigten kryptografischen Funktionen bereitstellen, während Sicherheitsteams die Transparenz über die sie nutzenden Systeme validieren. FlashHole zeigt nicht, dass Post-Quanten-Verschlüsselung Malware unerkennbar macht; die Kampagne verdeutlicht vielmehr, warum die Einführung stärkerer Kryptografie die Erkennung eines kompromittierten Endpunkts nicht ersetzen kann.

Mehr dazu: Da Angreifer Post-Quanten-Kryptografie einsetzen, legt Deutschlands Migrationsleitfaden Schritte fest, mit denen Organisationen ihre Kryptografie erfassen und Systeme mit hohem Risiko priorisieren.