Lazarus chiffre la livraison de son malware en ML-KEM post-quantique
Le 21 octobre 2026, Kaspersky révèle l’opération FlashHole : le groupe Lazarus nord-coréen utilise ML-KEM-1024, le standard post-quantique approuvé par le NIST, pour chiffrer la communication avec son C2 et masquer la charge finale. La cryptographie pensée pour survivre aux ordinateurs quantiques sert désormais à aveugler les analystes d’aujourd’hui : revoyez votre détection réseau si votre modèle de menace inclut la Corée du Nord.
Juillet 2025. Des pages de phishing commencent à rediriger des cibles sud-coréennes vers des pages GitHub spécialement conçues, amorçant une chaîne d’infection « plutôt complexe ». 21 octobre 2026. Kaspersky publie son analyse et baptise l’opération FlashHole, qu’elle attribue au groupe Lazarus. Pourquoi c’est important : l’attaquant utilise ML-KEM-1024, le mécanisme d’échange de clés post-quantique standardisé par le NIST, pour chiffrer la communication avec son C2 et masquer la charge finale. La cryptographie conçue pour survivre aux ordinateurs quantiques sert désormais à aveugler les analystes d’aujourd’hui.
Un standard défensif détourné en outil d’évasion
ML-KEM (ex-Kyber) est l’un des algorithmes de chiffrement à clé publique retenus par le NIST dans sa norme FIPS 203, pensé pour résister aux ordinateurs quantiques capables de casser RSA et ECDSA. Son usage est partout présenté comme une défense contre l’attaque « hack now, decrypt later » : chiffrer aujourd’hui avec de la crypto post-quantique pour que, demain, un déchiffrement quantique ne révèle pas des données déjà interceptées. Chrome l’a adopté, Signal l’a adopté, les distributions Linux l’embarquent dans OpenSSH.
Lazarus l’utilise pour la raison inverse. Le groupe ne cherche pas à protéger des données à long terme : il s’en sert pour masquer la charge finale de ses attaques. Kaspersky est explicite — « l’usage de la cryptographie post-quantique montre que le groupe entend cacher les charges suivantes ». La nuance est capitale : un algorithme pensé pour la confidentialité devient un outil d’évasion, parce que le trafic chiffré qu’il produit ne ressemble à rien de ce que les analystes réseau savent reconnaître.
La chaîne d’infection : du phishing à la charge en mémoire
La mécanique technique vaut d’être détaillée, car c’est elle qui explique pourquoi la détection classique échoue. LPEClient, un malware déjà associé à Lazarus, reçoit du C2 « un tableau d’octets comprenant quatre blocs de 1 568 octets », chacun contenant une clé publique ML-KEM-1024. À partir de ces blocs, LPEClient génère quatre paires de clés partagées et de ciphertexts, chiffre ces ciphertexts avec l’algorithme GOST, puis les transmet au C2 via ClientHub.
Les secrets partagés alimentent ensuite Threefish, un autre algorithme de chiffrement, qui déchiffre la réponse contenant les paramètres et la charge exécutable. La charge finale est Cubridge, un backdoor modulaire qui gère les fichiers, exécute des commandes, fait de la reconnaissance, capture des captures d’écran et charge des charges supplémentaires. Des outils complémentaires ciblent les navigateurs basés sur Chromium pour récupérer identifiants, cookies et historique.
En amont, la chaîne d’infection est tout aussi méthodique. Les pages de phishing dirigent les victimes vers des pages GitHub qui chargent du JavaScript depuis des domaines externes, déclenchant une exécution en mémoire via INISAFE CrossWeb EX, un outil de sécurité populaire en Corée du Sud. Le processus de cet outil exécute le binaire légitime Windows fsquirt.exe, qui lance le shellcode installant TechHub, un downloader chargé de récupérer du malware supplémentaire depuis des dépôts GitHub privés.
Kaspersky a identifié au moins trois entreprises sud-coréennes — dans les secteurs du logiciel, de la construction et de la fabrication d’équipements de communication filaire — mais soupçonne que bien d’autres organisations ont été touchées. La majeure partie du code tourne en mémoire ; seuls les mécanismes de persistance laissent des fichiers sur le disque. Kaspersky rattache FlashHole à l’activité plus large Cascade Hole et la relie à l’opération SyncHole avec une confiance « moyenne à élevée ».
Pourquoi ML-KEM change la donne pour les défenseurs
Le choix de ML-KEM n’est pas un détail cryptographique : c’est un choix de posture. L’échange de clés RSA ou ECC classique laisse des signatures reconnaissables — des poignées de main, des longueurs de clés, des motifs que les boîtiers d’inspection et les analystes savent lire depuis vingt ans. Le trafic ML-KEM s’appuie sur des réseaux (lattices) de haute dimension ; les échanges sont courts, denses et surtout impossibles à dériver sans la clé privée — une clé que la saisie d’un C2 ne révélera pas, puisqu’elle n’est jamais stockée côté serveur au-delà du secret éphémère.
C’est l’inversion exacte du scénario que la communauté anticipait. On imaginait la cryptographie post-quantique comme la parade à une menace future — l’ordinateur quantique qui déchiffrerait les archives. Lazarus la déploie contre une menace présente — l’analyste qui voudrait lire le trafic aujourd’hui. Le résultat est le même pour le défenseur : une couche de chiffrement que les sondes réseau ne peuvent ni décrypter ni, souvent, distinguer d’un flux légitime.
Cette bascule s’inscrit dans une tendance plus large que nous suivons sur ce blog. Lazarus a déjà été documenté en train d’exploiter un zero-day du pilote afd.sys pour déposer son rootkit FudModule, et des outils nord-coréens comme ROOFDECK signent leurs commandes avec la clé privée de l’opérateur. FlashHole ajoute une pièce : la protection de la livraison elle-même, pas seulement de l’exécution ou du contrôle.
Le précédent SyncHole et la filiation des opérations
Kaspersky ne traite pas FlashHole comme une campagne isolée. Elle la rattache à l’activité Cascade Hole et la relie à l’opération SyncHole — des attaques de watering hole qui ont déjà permis à Lazarus de compromettre six entreprises — avec une confiance « moyenne à élevée ». La filiation compte : elle indique que ML-KEM n’est pas une expérience ponctuelle, mais l’évolution d’un arsenal qui se professionnalise à chaque campagne.
La cible sud-coréenne n’est pas non plus un hasard. Lazarus a toujours concentré ses efforts sur la péninsule et ses chaînes d’approvisionnement, du vol de cryptomonnaie à l’espionnage industriel. L’usage d’INISAFE CrossWeb EX, un outil de sécurité local, montre une connaissance fine de l’écosystème coréen — le genre de détail qu’on n’obtient pas sans une préparation longue. Pour un défenseur, cela signifie que la détection ne peut pas reposer sur des signatures génériques : elle doit intégrer les indicateurs publiés et le contexte géographique.
Ce qu’il faut faire
La réponse ne se joue pas uniquement au niveau du réseau, mais c’est là qu’elle commence.
- Si votre modèle de menace inclut des acteurs alignés sur la Corée du Nord, réévaluez votre capacité à voir le trafic C2 chiffré : l’inspection TLS classique ne lira pas ML-KEM, et la détection doit se reporter sur les métadonnées et le comportement, pas sur le contenu.
- Priorisez les secteurs déjà ciblés. Les équipes du logiciel, de la construction et des équipements de communication sud-coréens — et leurs partenaires — doivent traiter FlashHole comme un indicateur d’activité en cours, pas comme un rapport historique.
- Cherchez les marqueurs connus. LPEClient, ClientHub, TechHub, Cubridge et l’abus d’INISAFE CrossWeb EX via
fsquirt.exesont des indicateurs publiés : intégrez-les à votre détection de endpoint et de mémoire. - Méfiez-vous des dépôts GitHub privés comme canal de staging. Le downloader TechHub récupère ses charges depuis des dépôts privés : surveillez les requêtes sortantes vers GitHub depuis des machines qui n’ont pas de raison de s’y connecter.
Le point de vigilance est net : la cryptographie post-quantique n’est plus un sujet de planification pour après-demain. Elle est déjà un outil opérationnel dans les mains d’un APT.
Verdict
Si vous opérez dans le périmètre sud-coréen ou que votre modèle de menace couvre Lazarus, traitez FlashHole comme un changement de posture, pas comme une anecdote : le chiffrement de la charge finale en ML-KEM neutralise l’inspection de contenu, et votre détection doit basculer vers les métadonnées, le comportement et les indicateurs de endpoint. Si votre exposition à la Corée du Nord est faible, retenez la leçon de fond — un standard de chiffrement pensé pour la défense est déjà recyclé en outil offensif, et ce détournement n’en est qu’à ses débuts.