LONDON (IT BOLTWISE) – Die Lazarus-Gruppe nutzt eine neue Welle gegen südkoreanische Organisationen und missbraucht dafür eine verpflichtende Finanz-Sicherheitslösung für Online-Banking. Laut Kaspersky läuft der Angriff über präparierte Seiten und triggert dann eine Kette aus DLL-Umgehungen, Speicher-Execution und mehreren Downloader-Modulen. Auffällig ist die Verwendung von ML-KEM-1024, um vor dem Abruf weiterer Komponenten eine verschlüsselte Verbindung zum Kontrollserver aufzubauen. Damit rückt Post-Quantum-Kryptografie als Baustein für langfristig belastbare Malware-Kommunikation in den Fokus.
Die zuletzt bekannt gewordene Kampagne Operation FlashHole zeigt, wie konsequent die Lazarus-Gruppe auf vertrauenswürdige Systembausteine in Südkorea setzt. Statt sich auf beliebige Schwachstellen zu verlassen, knüpft die Angriffslogik an Software an, die viele Anwender für Finanz- und Regierungsportale auf ihren Rechnern installiert haben. Im Kern geht es dabei um eine missbräuchliche Nutzung von INISAFE CrossWeb EX, einer „mandatory financial security solution“, die Zertifikats-Authentifizierung und elektronische Signaturen in Browser-Umgebungen unterstützen soll. Die Kampagne wird nach einer Bewertung durch Kaspersky auf mindestens Juli 2025 datiert und als Nachfolge einer früheren Angriffswelle eingeordnet, die bereits mehrere Branchen in Südkorea abdeckte.
Technisch betrachtet verschiebt sich der Fokus bei FlashHole gegenüber der früher dokumentierten Operation SyncHole. Während SyncHole den Pfad über die Ausnutzung einer Sicherheitslücke in iniLINE Cross EX für den Start der legitimen SyncHost.exe-Ablauflogik fand, wird FlashHole über INISAFE CrossWeb EX getrieben. Kaspersky beschreibt, dass die Angreifer nach dem Einstieg eine Kette starten, die zunächst legitime Windows-Bausteine nutzt und dann mit DLL-Sideloading und weiteren Prozessschritten die eigentlichen Payloads nachlädt. Besonders relevant ist die Beobachtung, dass Teile der Ausführung „nur im Speicher“ (in-memory) während der ersten Infiltration existieren, was das Offensichtlichste – namlich einen klaren Artefaktpfad auf der Festplatte – erschwert. Damit steigt die Bedeutung von Telemetrie, die Prozess- und Speicherereignisse korreliert, statt nur auf Dateisignaturen zu schauen.
Der Ablauf beginnt nach den verfügbaren Indizien nicht mit einem einzelnen „einfachen“ Exploit, sondern mit einer Kombination aus Social-Engineering und Web-Triggern. Kaspersky geht davon aus, dass Ziele spear-phishing-E-Mails erhalten, die auf eine bösartige Website verweisen. Beim Aufruf soll dann die INISAFE-Umgebung eine legitime Binärdatei – genannt wird fsquirt.exe – starten und anschließend eine bösartige DLL auslösen (benannt als TechHub). TechHub lädt seinerseits weitere Komponenten nach, unter anderem über Abrufe aus GitHub-Umgebungen; daraus ergibt sich eine praktische Angriffsstrategie, bei der die Hosting- und Verteilkomponente für Payloads flexibel bleiben kann. Dass TouchHub als übergeordneter Installer für TouchShift fungiert und TouchShift dann als Dropper unter anderem Keylogger- und Screenshot-Funktionalität vorbereiten kann, unterstreicht zugleich den modularen Charakter: Statt einer „Monolith“-Payload orchestriert die Malware mehrere nachgelagerte Rollen.
Strategisch ist vor allem die Kommunikationsschicht: Check Point berichtet, dass LPEClient in einer späteren Version offenbar nach Ausnutzung eines Windows-Privilege-Escalation-Problems eingesetzt wurde – konkret über eine Null-Tage-Lücke CVE-2026-68820, um den Rootkit-FudModule zu platzieren. Für FlashHole betont Kaspersky aber eine andere Neuigkeit: Die aktuelle Ausprägung etabliert eine verschlüsselte Verbindung mit dem Angreifer-Server mit ML-KEM-1024, also einem Post-Quantum-Kryptografie-Algorithmus, bevor weitere Malware direkt in Speicherstrukturen nachgeladen und ausgeführt werden. Das ist mehr als ein Detail am Rande. Post-Quantum-Mechanismen sollen so gestaltet sein, dass selbst zukünftige Quantenangriffe die Vertraulichkeit der Schlüsselableitung destabilisieren könnten. In der Praxis bedeutet das für Verteidiger: Netzwerksicherheit, die nur auf klassischen Kryptografie-Mustern oder älteren Handshake-Patterns beruht, könnte an Aussagekraft verlieren, wenn der erste Zugriff bereits mit quantenrobuster Kryptografie abgesichert wird.
Inhaltlich ordnet sich FlashHole in eine breitere Kampagnenfamilie ein, die Kaspersky als Cascade Hole beschreibt: Dabei dient südkoreanische Software als potenzieller Einstiegspunkt, um Zielumgebungen im Land zu kompromittieren. Die jüngere Veröffentlichung ordnet FlashHole außerdem zeitlich in eine Reihe von Angriffen ein, bei denen Ziele über den Einsatz des COPPERHEDGE-Backdoors ebenfalls in Mitleidenschaft gezogen werden. In mindestens einem Fall wird von einem Daten-Abfluss auf eine Dark-Web-Leak-Seite namens ULOSE berichtet – ein Muster, das im Umfeld anderer Ereignisse mit Ransomware-artigen Praktiken gegen südkoreanische Stellen erneut sichtbar wurde. Dass die Kampagne „neue Tools einführt und bekannte Module neu aufsetzt“, wie Kaspersky sie zusammenfasst, deutet auf eine anpassungsfähige Entwicklungs- und Operationslinie hin, die aus früheren Kampagnen lernt und dabei besonders auf die Interaktion mit lokalen Sicherheitsprodukten setzt.
Für Organisationen in Südkorea und darüber hinaus liegt der operative Hebel weniger in einzelnen IOC-Listen als in der Architektur der Abwehr. Wenn verpflichtende Finanz-Sicherheitskomponenten als Einstiegsschnittstelle missbraucht werden, müssen Security-Teams besonders prüfen, welche Prozesse tatsächlich nach einem „vertrauenswürdigen“ UI-Flow starten, ob erwartete DLL-Load-Pfade eingehalten werden und ob Speicher-residente Ausführungen zu Beginn einer Sitzung auftauchen. Gleichzeitig zeigt die Mischform aus spear-phishing, watering-hole-artigen Mechanismen und Web-Hosting über Plattformen wie GitHub-Seiten, dass der perimeterspezifische Blick zu kurz greift. Entscheidend ist eine Kette aus Telemetrie, die Browserereignisse mit lokalen Prozess- und Speicherindikatoren verbindet, ergänzt um kontrollierte Validierung von Integritäts- und Authentizitätsannahmen bei Finanz- und Regierungsportalen. Genau diese Kombination entscheidet in der Praxis darüber, ob die Angriffslogik „nur“ einen Techniknachweis bleibt – oder ob sie zuverlässig zu Persistenz und später Exfiltration führt.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lazarus missbraucht Finanz-Sicherheitssoftware mit Post-Quantum-Verschlüsselung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lazarus missbraucht Finanz-Sicherheitssoftware mit Post-Quantum-Verschlüsselung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lazarus missbraucht Finanz-Sicherheitssoftware mit Post-Quantum-Verschlüsselung« bei Google Deutschland suchen, bei Bing oder Google News!