Il gruppo Lazarus sfrutta l’intelligenza artificiale e la crittografia post-quantistica per sferrare attacchi informatici.
“Mentre molte aziende stanno ancora discutendo quando iniziare la migrazione post-quantum, Lazarus ha già portato ML-KEM (un meccanismo crittografico post-quantistico standardizzato per aiutare a proteggere le comunicazioni da potenziali attacchi da parte di futuri computer quantistici) dentro la propria catena offensiva. Ed è un segnale da non sottovalutare”, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0
Indice degli argomenti
La campagna del gruppo Lazarus
A scoprire la campagna di spionaggio informatico del gruppo Lazarus, ribattezzata denominata “Operazione FlashHole”, sono stati i ricercatori Kaspersky.
Attiva almeno dal luglio 2025, la campagna ha colpito almeno tre organizzazioni in Corea del Sud operanti nei settori dell’edilizia, del software e della produzione di apparecchiature per le comunicazioni via cavo.
Gli autori degli attacchi hanno utilizzato e-mail di phishing mirate e siti web fraudolenti contenenti CV e portfolio per attirare le vittime. I ricercatori hanno, inoltre, individuato una potenziale via di exploit che coinvolge CrossWeb EX, un software legittimo di sicurezza e autenticazione web ampiamente utilizzato in Corea del Sud.
La campagna combina malware aggiornato con due strumenti finora non documentati, TouchHub e ClientHub, che consentono agli autori degli attacchi di eseguire comandi, distribuire codice malevolo aggiuntivo e comunicare con i sistemi compromessi.
I ricercatori hanno trovato indicazioni sull’utilizzo dell’intelligenza artificiale per generare foto profilo e personalizzare siti web fraudolenti in base ai singoli bersagli.
L’operazione si basa su tecniche associate a precedenti campagne di Lazarus, tra cui l’Operazione DreamJob e l’Operazione SyncHole.
AI e crittografia post-quantistica negli attacchi di Lazarus
Una scoperta chiave è rappresentata da una versione aggiornata di LPEClient, uno strumento di Lazarus che raccoglie informazioni di sistema e distribuisce malware aggiuntivo.
La nuova versione utilizza ML-KEM-1024, un meccanismo crittografico post-quantistico standardizzato per aiutare a proteggere le comunicazioni da potenziali attacchi da parte di futuri computer quantistici. Esso stabilisce un segreto condiviso per una connessione crittografata con un server controllato dall’autore dell’attacco prima di scaricare ed eseguire payload aggiuntivi in memoria.
“Gli attaccanti non aspettano roadmap, budget o scadenze normative per adottare tecnologie che aumentano il loro vantaggio operativo“, spiega Sandro Sana.
Le misure per limitare i rischi
La campagna illustra come i gruppi di spionaggio informatico stiano adottando tecniche di ingegneria sociale assistite dall’intelligenza artificiale e la crittografia post-quantistica, parallelamente all’evoluzione del malware. La preoccupazione immediata è che gli attori malintenzionati stiano utilizzando questi meccanismi per proteggere le proprie comunicazioni dall’intercettazione e dall’analisi.
I team di sicurezza devono quindi tenere in considerazione entrambi gli aspetti della transizione verso la crittografia post-quantistica: proteggere i sistemi legittimi dalle future minacce quantistiche e comprendere in che modo gli attori malintenzionati stiano già adottando questa tecnologia.
La tecnica “harvest now, decrypt later”
“La post-quantum security non è più soltanto un problema del ‘giorno in cui arriverà il computer quantistico’. Sta già entrando nel confronto tra chi attacca e chi difende”, conclude Sandro Sana: “Chi continua a trattarla come un tema del futuro rischia, ancora una volta, di arrivare quando il futuro è già diventato presente”.
Il sistema finanziario globale si fonda sulla crittografia a chiave pubblica, che andrà in soffitta con l’avvento di computer quantistici la cui potenza di calcolo potrebbe disintegrare gli algoritmi crittografici più popolari, come quelli basati su RSA e curve ellittiche.
Attualmente, la ricetta “harvest now, decrypt later” (raccogli oggi, decifra domani) rappresenta lo scenario più critico, in quanto chi intercetta oggi dati cifrati potrebbe decifrarli in futuro, quando la tecnologia quantistica metterà in crisi il mondo finanziario e a rischio informazioni sensibili, anche a lungo termine.
Secondo i ricercatori di Kaspersky, l’impiego della crittografia post-quantistica da parte del gruppo nelle comunicazioni del malware almeno fino a settembre 2024, obbliga le organizzazioni ad applicare le patch ai software vulnerabili, formare i dipendenti a riconoscere i tentativi di phishing mirati, limitare i privilegi degli utenti e monitorare i servizi cloud che potrebbero essere utilizzati in modo improprio per le comunicazioni di comando e controllo.
Partecipa alla community