Nach Angaben von Kaspersky begannen die Angriffe im Juli 2025. Die Opfer gelangten über Phishing-Seiten auf eigens präparierte GitHub-Seiten, die JavaScript-Code von externen Domains nachluden. Das löste eine Ausführungskette im Arbeitsspeicher aus, an der INISAFE CrossWeb EX beteiligt war – ein in Südkorea verbreitetes Sicherheitswerkzeug. Dessen Prozess startete die legitime Windows-Datei fsquirt.exe, über die Shellcode ausgeführt wurde. Dieser installierte den Downloader TechHub, der weitere Schadsoftware aus privaten GitHub-Repositories nachlud.

Kaspersky identifizierte mindestens drei Unternehmen in Südkorea aus den Bereichen Software, Bau und Herstellung drahtgebundener Kommunikationstechnik, vermutet aber deutlich mehr Betroffene.

Zum Werkzeugkasten gehört der neue Loader ClientHub, der sowohl die Kommunikation über Dropbox als auch den direkten Datenaustausch mit LPEClient unterstützt. LPEClient, bereits zuvor mit Lazarus in Verbindung gebracht, erstellt Profile der Opfer, empfängt über ClientHub verschlüsselte Nutzlasten und entzieht sich der Sicherheitsüberwachung. Als modulare Hintertür kommt Cubridge zum Einsatz, die Dateiverwaltung, Befehlsausführung und Ausspähung ermöglicht sowie Bildschirmfotos anfertigen und weitere Nutzlasten laden kann. Zusätzlich beobachtete Kaspersky Werkzeuge, die es auf Zugangsdaten, Cookies und den Browserverlauf von Chromium-basierten Browsern abgesehen haben. Der größte Teil des Lazarus-Codes läuft im Arbeitsspeicher, allerdings hinterlassen Persistenzmechanismen einige Dateien auf der Festplatte der Opfer.

Bemerkenswert ist der Einsatz des Post-Quanten-Verfahrens ML-KEM, eines von der NIST anerkannten Standards, der in zahlreichen Softwareprojekten gegen Angriffe nach dem Muster „jetzt abgreifen, später entschlüsseln" schützen soll. Der technischen Analyse zufolge erhält LPEClient vom Command-and-Control-Server „ein Byte-Array aus vier Blöcken zu je 1.568 Byte", von denen jeder einen öffentlichen ML-KEM-1024-Schlüssel enthält.

„LPEClient erzeugt daraus vier verschiedene Paare aus gemeinsamen Schlüsseln und Chiffretexten, verschlüsselt die Chiffretexte mit dem GOST-Algorithmus und übermittelt sie über ClientHub an den C2-Server", erläutert Kaspersky. Die gemeinsamen Geheimnisse liefern das Schlüsselmaterial für den Algorithmus Threefish, mit dem die Antwort entschlüsselt wird – sie enthält Parameter und eine ausführbare Nutzlast. Die finale Nutzlast ist Cubridge, die LPEClient reflektiv in den Arbeitsspeicher des Rechners lädt.

Kaspersky geht davon aus, dass Lazarus dieses Verfahren zusammen mit der Ausführungskette im Arbeitsspeicher nutzt, um das Entdeckungsrisiko so gering wie möglich zu halten. „Der Einsatz von Post-Quanten-Kryptografie zeigt, dass die Gruppe nachfolgende Nutzlasten verbergen will", so Kaspersky.

Die Forscher ordnen FlashHole der umfassenderen Aktivität Cascade Hole zu und verknüpfen die Kampagne mit mittlerer bis hoher Zuversicht mit der früheren Operation SyncHole.