Kaspersky découvre de la cryptographie post-quantique dans le malware Lazarus

La cryptographie conçue pour résister aux futurs ordinateurs quantiques aide déjà les pirates nord-coréens à protéger la diffusion de malwares.

La Global Research and Analysis Team (GReAT) de Kaspersky a révélé l’opération FlashHole le 21 octobre, attribuant cette campagne de cyberespionnage au groupe Lazarus. Les chercheurs ont identifié au moins trois organisations touchées en Corée du Sud, dans les secteurs de la construction, des logiciels et de la fabrication d’équipements de communication filaire.

Selon le rapport technique de Kaspersky, la campagne remonte au moins à juillet 2025. Un outil Lazarus mis à jour, baptisé LPEClient, utilise ML-KEM-1024, un mécanisme post-quantique standardisé par le National Institute of Standards and Technology des États-Unis, pour établir des clés secrètes qui protègent les malwares supplémentaires transmis aux systèmes infectés.

Pour les équipes de sécurité des entreprises, l’enjeu dépasse cette campagne : une cryptographie plus robuste peut également protéger les communications des attaquants. La détection de l’intrusion dépend toujours de l’identification d’activités suspectes autour de l’échange chiffré.

Comment FlashHole utilise l’échange de clés post-quantique

Kaspersky décrit l’attaque en plusieurs étapes :

• Leurre : Kaspersky estime que les cibles ont reçu des e-mails d’hameçonnage ciblé contenant des liens vers de faux sites de portfolios et de CV adaptés à leur profil.
• Entrée : La consultation d’un site malveillant a probablement déclenché une infection impliquant CrossWeb EX, un logiciel de sécurité financière largement utilisé en Corée du Sud. Les chercheurs n’ont pas pu établir le déclencheur exact ni déterminer comment le logiciel a été détourné.
• Nouveaux outils : Deux outils jusque-là non documentés, TouchHub et ClientHub, installent des malwares supplémentaires, exécutent des commandes sur les ordinateurs infectés et communiquent avec les attaquants.
• Échange de clés : La version mise à jour de LPEClient reçoit quatre clés publiques ML-KEM-1024 et génère quatre secrets partagés. Ceux-ci constituent la clé utilisée par le chiffrement Threefish pour déchiffrer la charge utile suivante.

À propos de l’utilisation plus large de la cryptographie post-quantique par Lazarus, Sojun Ryu, chercheur senior en sécurité chez Kaspersky GReAT, a déclaré : « Nos conclusions font remonter son utilisation au moins à septembre 2024, ce qui montre que ces capacités protégeaient déjà les communications malveillantes du groupe plus d’un an avant cette révélation. »

Une deuxième campagne de Lazarus utilisant ML-KEM

FlashHole fait suite à une autre campagne de Lazarus qui utilisait la même norme. En août, Check Point Research a signalé que le malware d’une campagne Operation Dream Job attribuée à Lazarus avait utilisé un échange de clés Kyber/ML-KEM avant de télécharger un exploit visant une faille zero-day de Windows, CVE-2026-68820. Microsoft a corrigé la faille le 11 août.

Les deux révélations sont intervenues alors que les gouvernements accéléraient leur transition vers le post-quantique. Un décret présidentiel américain de juin impose aux actifs fédéraux de grande valeur et aux systèmes à fort impact, à l’exclusion des systèmes de sécurité nationale, d’adopter l’établissement de clés post-quantiques d’ici au 31 décembre 2030, ainsi que les signatures numériques d’ici au 31 décembre 2031.

Pourquoi le chiffrement post-quantique seul ne constitue pas un indicateur de menace

L’échange de clés post-quantique est désormais courant sur les réseaux légitimes. Cloudflare a indiqué que la part du trafic web généré par des humains et utilisant le chiffrement post-quantique sur son réseau était passée de 29 % au début de 2025 à 52 % au début du mois de décembre. Une poignée de main post-quantique ne fournit à elle seule que peu d’informations à une équipe de sécurité.

L’adoption en entreprise varie selon la fonction cryptographique. Le rapport de septembre de MITRE, fondé sur des éléments recueillis en juillet 2026, a constaté la prise en charge, dans les versions générales, de l’établissement de clés post-quantiques dans cinq des six catégories technologiques concernées, contre deux sur huit pour les signatures numériques. Le chiffre relatif aux signatures mesure une capacité différente de celle de l’établissement de clés utilisé par Lazarus.

Ce qu’a constaté eWeek : un chiffrement plus robuste laisse tout de même des traces

FlashHole montre qu’un chiffrement plus robuste peut coexister avec une activité d’intrusion détectable. Kaspersky a documenté le lancement par CrossWeb EX d’un binaire Windows légitime ainsi que l’exécution de code malveillant en mémoire. Protéger la diffusion de la charge utile n’efface pas ces activités environnantes.

Notre analyse est que les organisations devraient s’appuyer sur ce rapport pour tester la couverture de leurs dispositifs de détection. Leurs outils de sécurité peuvent-ils relier le lancement inhabituel d’un processus à une activité ultérieure en mémoire et à des communications suspectes ? Un test pertinent devrait examiner la séquence, car ni le chiffrement ni l’accès à un service cloud légitime ne suffisent à établir à eux seuls une intention malveillante.

La transition vers le post-quantique répond à un problème distinct : protéger les systèmes légitimes contre les futures attaques cryptographiques. Un audit du GAO rendu public en octobre a constaté qu’une seule des 24 grandes agences fédérales avait entièrement appliqué sa pratique d’inventaire cryptographique. Toutefois, l’audit a été achevé en septembre 2025 ; ces conclusions ne doivent donc pas être considérées comme un indicateur actuel de l’état de préparation.

Pour les dirigeants d’entreprise, l’enjeu pratique consiste à mener de front la transition et la détection des intrusions. Les équipes chargées des achats doivent demander des éléments prouvant que les produits fournissent les fonctions cryptographiques dont elles ont besoin, tandis que les équipes de sécurité vérifient leur visibilité sur les systèmes qui les utilisent. FlashHole ne démontre pas que le chiffrement post-quantique rend les malwares indétectables ; il montre pourquoi l’adoption d’une cryptographie plus robuste ne peut pas se substituer à la détection d’un terminal compromis.

À lire : Alors que les attaquants adoptent la cryptographie post-quantique, les recommandations allemandes en matière de transition définissent les étapes permettant aux organisations d’inventorier leur cryptographie et de hiérarchiser les systèmes à haut risque.