Kaspersky entdeckt neue Lazarus-Malware mit Post-Quanten-Kryptografie

Die APT-Gruppe Lazarus setzt im Rahmen ihrer Cyberspionage-Kampagne ‚Operation FlashHole‘ auf zwei bislang undokumentierte Malware-Tools sowie eine weiterentwickelte Version von LPEClient. Letztere nutzt Post-Quanten-Kryptografie, um die Kommunikation mit den Angreifern abzusichern. Zudem kommen KI-generierte Bewerberprofile und zielgerichtete Spear-Phishing-Angriffe zum Einsatz, um potenzielle Opfer zu täuschen und Zugriff auf deren Systeme zu erlangen. Auf kompromittierten Systemen können die Angreifer so Informationen sammeln und weitere Schadsoftware einschleusen. Diese Erkenntnisse gehen aus einer aktuellen Analyse von Kaspersky hervor [1], die auf dem Security Analyst Summit in Bali, Indonesien, von Kasperskys Global Research and Analysis Team (GReAT) vorgestellt wurde.

Kasperskys GReAT-Experten haben eine neue Angriffswelle der Lazarus-Gruppe aufgedeckt. Im Rahmen ihrer Analyse der ‚Operation FlashHole‘ entdeckten sie zwei bislang undokumentierte Tools namens ‚TouchHub‘ und ‚ClientHub‘, die von den Angreifern zur Verbreitung zusätzlicher Schadsoftware, zur Ausführung von Befehlen auf kompromittierten Systemen und zur Kommunikation mit ihrer Infrastruktur eingesetzt werden. Ziel ist es, Informationen für Cyberspionagezwecke zu sammeln. Eine Variante eines der neu entdeckten Tools nutzt dabei den Cloud-Dienst Dropbox zur Kommunikation mit den Angreifern.

Darüber hinaus identifizierten die Forscher eine aktualisierte Version von LPEClient. Das bereits seit Langem bekannte Lazarus-Tool dient dazu, Informationen über kompromittierte Systeme zu sammeln und weitere Schadsoftware nachzuladen; die neue Version verfügt über erweiterte Funktionen zur Systemanalyse und erfasst unter anderem Informationen über installierte Sicherheitslösungen, Windows-Sicherheitsmechanismen und weitere Systemeigenschaften. Anschließend werden die gesammelten Daten komprimiert, verschlüsselt und an die Angreifer übermittelt.

Eine Besonderheit der aktualisierten LPEClient-Version ist der Einsatz von ML-KEM-1024, einem postquantenkryptografischen Verfahren, das die Kommunikation auch vor potenziellen Angriffen durch künftige Quantencomputer schützen soll. Mithilfe dieses Verfahrens baut die Malware eine verschlüsselte Verbindung zum Server der Angreifer auf, bevor sie weitere Schadsoftware herunterlädt und direkt im Arbeitsspeicher ausführt. Um einer Entdeckung zu entgehen, versucht LPEClient zudem, Sicherheitsmechanismen zu umgehen. Hierzu verändert die Malware unter anderem den Speicherschutz und deaktiviert einen Überwachungsmechanismus, den Sicherheitslösungen zur Erkennung verdächtiger Systemaktivitäten nutzen.

Kombination bekannter Angriffsmethoden mit neuen Täuschungstechniken

Diese jüngsten Erkenntnisse stehen im Zusammenhang mit Operation SyncHole [2], einer bereits im April 2025 von Kaspersky dokumentierten Angriffskampagne der Lazarus-Gruppe. Seitdem haben die Angreifer ihre Werkzeuge und Techniken kontinuierlich weiterentwickelt. Dabei greifen sie auch auf bewährte Methoden zurück, die bereits aus früheren Lazarus-Kampagnen bekannt sind. Die aktive Kampagne betrifft Stand heute bereits mindestens drei Organisationen in Südkorea aus der Bauwirtschaft, der Softwarebranche sowie der Herstellung drahtgebundener Kommunikationsgeräte.

Im Rahmen ihrer aktuellen Untersuchung entdeckten die Kaspersky-Experten eine GitHub-Pages-Website, die mit einem GitHub-Konto verknüpft war, das als Command-and-Control-Kanal (C2) diente. Das im September 2025 erstellte Konto hostete zunächst eine Website mit dem Lebenslauf eines vermeintlichen Senior-Entwicklers für Netzwerkgeräte. Diese Vorgehensweise ist typisch für die ‚Operation DreamJob‘, eine bekannte Angriffskampagne der Lazarus-Gruppe, bei der gefälschte Stellenangebote und Bewerbungsunterlagen als Köder dienen. Neu an der untersuchten Angriffswelle ist unter anderem der Einsatz eines KI-generierten Fotos des angeblichen Bewerbers. Die Kaspersky-Experten vermuten, dass die Angreifer KI auch zur individuellen Gestaltung der betrügerischen Websites einsetzten. Als Einstiegspunkt dienten zielgerichtete Spear-Phishing-E-Mails mit Links zu gefälschten Portfolio- und Lebenslauf-Websites, die auf die jeweiligen Opfer zugeschnitten waren.

Die aktuelle Analyse legt nahe, dass bereits der Besuch einer solchen manipulierten Website mit hoher Wahrscheinlichkeit eine Infektionskette auslöste, bei der die legitime Software CrossWeb EX von den Angreifern missbraucht wurde. Dabei handelt es sich um ein in Südkorea weit verbreitetes Sicherheits-Plugin zur Webauthentifizierung. Möglicherweise nutzten die Angreifer eine Schwachstelle in CrossWeb EX aus, um sich ersten Zugriff auf die Zielsysteme zu verschaffen. Eine zuvor veröffentlichte Sicherheitswarnung hatte bereits eine Schwachstelle in der Finanzsicherheitssoftware bestätigt. Zudem identifizierten die Kaspersky-Experten mehrere schädliche Payloads und rekonstruierten die Infektionskette, wobei sie ein komplexes Framework zur Verbreitung von Schadsoftware sowie fortschrittliche Techniken zur Verschleierung schädlicher Aktivitäten auf kompromittierten Systemen fanden.

„Die Lazarus-Gruppe weitet ihre Aktivitäten kontinuierlich aus, startet neue Angriffskampagnen, entwickelt neue Tools und passt bereits bekannte Schadsoftware an ihre jeweiligen Ziele an“, fasst Sojun Ryu, Senior Security Researcher im Kaspersky Global Research and Analysis Team (GReAT), die aktuellen Aktivitäten der Gruppe zusammen. „Unsere Analyse der Operation FlashHole sowie Erkenntnisse aus früheren Untersuchungen legen nahe, dass die Gruppe zunehmend auch KI in ihre etablierten Angriffsmethoden integriert. Eine ähnliche Entwicklung beobachten wir bei weiteren mit Lazarus verbundenen Bedrohungsakteuren. Besonders bemerkenswert ist der Einsatz postquantenkryptografischer Verfahren, die auch Angriffen durch künftige Quantencomputer standhalten sollen. Unsere Erkenntnisse reichen bis mindestens September 2024 zurück. Das zeigt, dass diese Technologien bereits mehr als ein Jahr vor der aktuellen Veröffentlichung zum Schutz der Malware-Kommunikation der Gruppe eingesetzt wurden.“

Kaspersky-Empfehlungen zum Schutz vor Angriffen der Lazarus-Gruppe

• Mitarbeitende für Phishing sensibilisieren: Regelmäßige Schulungen helfen dabei, Phishing-Versuche frühzeitig zu erkennen. Unerwartete E-Mails und darin enthaltene Links sollten auch dann kritisch geprüft werden, wenn sie auf professionell gestaltete Websites führen. Verdächtige Nachrichten sollten umgehend dem IT-Sicherheitsteam gemeldet werden.
• Software aktuell halten und Schwachstellen minimieren: Sicherheitsupdates und Patches sollten zeitnah installiert werden. Darüber hinaus empfiehlt es sich, geschäftskritische Anwendungen regelmäßig auf Schwachstellen zu überprüfen und nicht benötigte Komponenten zu deaktivieren, um die Angriffsfläche zu reduzieren.
• Zugriffsrechte beschränken und Cloud-Kommunikation überwachen: Nutzerrechte sollten nach dem Least-Privilege-Prinzip vergeben werden. Zudem sollten Unternehmen Verbindungen zu Cloud-Diensten überwachen, da diese von Angreifern für die Command-and-Control-Kommunikation missbraucht werden können.
• Umfassende Sicherheitslösungen einsetzen: Entsprechende Lösungen wie die der Produktlinie Kaspersky Next [3] bieten Echtzeitschutz, Transparenz über die Bedrohungslage, Funktionen zur Untersuchung von Sicherheitsvorfällen sowie EDR- und XDR-gestützte Reaktionsmöglichkeiten.
• Auf Managed Security Services setzen: Services wie Kaspersky Compromise Assessment [4], Kaspersky Managed Detection and Response [5] und Kaspersky Incident Response [6] unterstützen Unternehmen während des gesamten Incident-Management-Zyklus – von der Bedrohungserkennung über die kontinuierliche Überwachung bis hin zur Untersuchung und Behebung von Sicherheitsvorfällen. Sie helfen dabei, schwer erkennbare Cyberangriffe zu identifizieren und fehlende interne Cybersicherheitsexpertise zu ergänzen.
• Threat Intelligence nutzen: IT-Sicherheitsteams sollten Zugriff auf umfassende Informationen zur aktuellen Bedrohungslage erhalten. Kaspersky Threat Intelligence [7] liefert detaillierte Kontextinformationen zu Cyberbedrohungen, Angriffsmethoden und Indicators of Compromise. So können Unternehmen potenzielle Risiken frühzeitig erkennen und Gegenmaßnahmen ergreifen.

Weitere Ergebnisse zu Operation FlashHole sind verfügbar unter https://securelist.com/lazarus-operation-flashhole/121541/

[1] https://securelist.com/lazarus-operation-flashhole/121541/

[2] https://www.kaspersky.com/about/press-releases/kaspersky-uncovers-new-lazarus-led-cyberattacks-targeting-south-korean-supply-chains

[3] https://www.kaspersky.de/next

[4] https://www.kaspersky.de/enterprise-security/compromise-assessment

[5] https://www.kaspersky.de/enterprise-security/managed-detection-and-response

[6] https://www.kaspersky.de/enterprise-security/incident-response

[7] https://www.kaspersky.de/enterprise-security/threat-intelligence

Nützliche Links:

• Kaspersky-Analyse zu Operation FlashHole: https://securelist.com/lazarus-operation-flashhole/121541/
• Kaspersky Next: https://www.kaspersky.de/next
• Kaspersky Compromise Assessment: https://www.kaspersky.de/enterprise-security/compromise-assessment
• Kaspersky Managed Detection and Response: https://www.kaspersky.de/enterprise-security/managed-detection-and-response
• Kaspersky Incident Response: https://www.kaspersky.de/enterprise-security/incident-response
• Kaspersky Threat Intelligence: https://www.kaspersky.de/enterprise-security/threat-intelligence