Grupi i njohur për sulme kibernetike i Koreve të Veriut ka përdorur një formë të avancuar të kriptografisë, e njohur si post-kvantum, për të mbrojtur programet e dëmshme, një teknologji që qeveritë dhe kompanitë teknologjike po fillojnë të implementojnë për të mbrojtur të dhënat e tyre.
Sipas analizës së Global Research and Analysis Team (GReAT) të kompanisë Kaspersky, një version i përditësuar i LPEClient, një mjet i grupit Lazarus, përdor ML-KEM-1024, një mekanizëm i krijuar për të rezistuar ndaj sulmeve nga kompjuteret e ardhshme kuantume, për të siguruar kanalin përmes të cilit shkarkohen programe të tjera të dëmshme.
Kjo fushatë, e quajtur “Operation FlashHole”, ka prekur të paktën tre organizata në Korenë e Jugut, në sektorët e softuerit, ndërtimit dhe prodhimit të pajisjeve të komunikimit.
Sulmuesit kanë përdorur një faqe GitHub Pages, e lidhur me një llogari GitHub të krijuar në shtator 2025, për të kontrolluar sistemet e viktimave. Fillimisht, faqja shfaqte një CV të një “zhvilluesi i lartë i pajisjeve të rrjetit”, e cila më vonë u zëvendësua me një portofol të dizajnit të brendshëm, duke synuar një kompani ndërtimi.
Kaspersky ka konstatuar se viktimat kanë marrë emaile “spear-phishing” që lidheshin me këto faqe, të cilat shkarkonin JavaScript nga domenet e kontrolluara nga sulmuesit.
Malware-i ka përdorur INISAFE CrossWeb EX, një program për sigurinë financiare, i nevojshëm për të hyrë në shumë uebsajte bankare dhe qeveritare në Korenë e Jugut. Sulmuesit e kanë shfrytëzuar këtë program, duke e ekzektuar me privilegje të larta, në një version të CrossWeb EX të lëshuar në vitin 2023, pas një paralajmërimi publik nga KrCERT, agjencia e sigurisë kibernetike e Korese së Jugut.
Kjo nuk është hera e parë që grupi Lazarus përdor CrossWeb EX; ai është përdorur edhe në vitet 2021, 2022 dhe 2023. Një sulm i quajtur “Operation SyncHole”, i zbuluar në prill 2025, ka përdorur një program të ngjashëm, Cross EX, për të kompromentuar të paktën gjashtë organizata.
Kaspersky beson se fotoja në CV-në e faqes së internetit është krijuar me ndihmën e inteligjencës artificiale (AI), duke cituar mungesën e metadhenëve EXIF dhe një teksturë të pazakontë. Gjithashtu, besohet se edhe vetë faqja është krijuar me AI, duke përdorur emra kandidatësh që ngjajnë me emrat standardë në Korenë e Jugut dhe një portofol të mbushur me detaje të paqëndrueshme dhe kompani të lidhura.
Sipas hulumtuesit të sigurisë në Kaspersky, Ojun Ryu, këto zbulime tregojnë se grupi Lazarus po “përpunon AI në strategjitë e tij të vjetër”, një tendencë që është parë edhe në grupe të tjera të lidhura me Lazarus.
Ndryshimi i rëndësishëm është në LPEClient, një mjet për profilim dhe shpërndarje të programeve të dëmshme. Versioni i ri nuk ruhet adresa e serverit, por përdor ClientHub, një program i ri që komunikon me operatorët e tij përmes Dropbox. Ai profilon programet e sigurisë të instaluara dhe nivelin e patch-it të Windows, dhe tani kontrollon nëse janë aktivizuar mbrojtjet si “Shadow Stack”. Ai raport e enkripton me GOST, standardi kombëtar i cifrimit i Rusisë.
Më pas, përdoret kriptografia post-kvantum. Serveri dërgon katër çelësa publikë ML-KEM-1024, LPEClient derivon katër sekrete të ndara nga këto çelësa, dhe ato kombinohen në një çelës 128-byte për Threefish, një cifër blokash që mundëson modifikime. Ky çelës e dekripton programin e dëmshëm të radhës, i cili shkarkohet direkt në memorie.
ML-KEM-1024 është një nga tre grupet e parametrave më të fortë në standardin NIST FIPS 203, dhe është ai që NSA specifikon për krijimin e çeleseve në kuadër të CNSA 2.0, suita e algoritmeve për sigurinë kombëtare të SHBA-së. Raporti i Kaspersky thekson, me ironi, se grupi ka “adoptuar kriptografinë post-kvantum më shpejt se shumë produkte të sigura”.
Kaspersky nuk është e vetmja që ka zbuluar këtë. Në gusht 2026, Check Point Research ka raportuar për një modul në një valë të “Dream Job” kundër kompanive të mbrojtjes, që shkarkonte katër çelësa publikë nga serveri i tij dhe përdorte Kyber/ML-KEM për të rregulluar një çelës për të shkarkuar FudModule, një rootkit që shfrytëzonte një vulnerabilitet zero-day të Windows, CVE-2026-68820. Kaspersky e identifikon këtë modul si LPEClient.
Që nga tani, asnjë kompjuter kuantum nuk mund të thyë kriptografinë që mbron trafikun e internetit. Për këtë arsye, ML-KEM i jep grupit Lazarus një avantazh vetëm nëse dikush regjistron trafikun e tij sot dhe e dekripton kur një i tillë kompjuter të ekzistojë.
Për një operacion spiunazhi shtetëror, që ka si kundërshtar agjenci inteligjence të fuqishme, ruajtja e mjeteve kundër kësaj mundësie është një zgjedhje logjike. Kaspersky beson se grupi dëshiron të fshehë programet e dëmshme të fazës së fundit.
Megjithatë, malware-i nuk fshehet aty ku ekzekutohet. Sektori i post-kvantum mbron vetëm të dhënat në tranzit, dhe analiza e Kaspersky zbuloi të gjithë procesin. Kaspersky thotë se kjo tregon një zhvillues të dedikuar, dhe pjesa tjetër e mjeteve e mbështet këtë. ClientHub përdor cifrimin SNOW, i pari për Lazarus, sipas Kaspersky, dhe kopjon header-ët e dërguar nga browserët Chromium.
Kaspersky beson se fokusimi në kompanitë e softuerit, i vetmi sektor i prekur në SyncHole dhe FlashHole, tregon një dëshirë për kod burim që mund të shfrytëzohet për të gjetur vulnerabilitete të reja.
Mësimi për ata që duhet të mbrohen është mënyra e shpërndarjes, jo kriptografia: një CV e rreme dhe një plugin i sigurisë i besueshëm. Kaspersky këshillon të verifikohen lidhjet e papritura, edhe kur ato çojnë në faqe profesionale, të patchohet shpejt, të hippohen komponentët e panevojshëm, të kufizohen privilegjet e përdoruesve dhe të monitorohen lidhjet me shërbimet e cloud si GitHub dhe Dropbox, që mund të përdoren si kanale komandimi.
Që nga ajo që malware-i nuk fsheh asnjë gjë për atë që bën në kompjuter, programet e mbrojtjes të instaluara mbeten mënyra realiste për ta kapur. Megjithatë, nëse qasja e re me ndihmë të AI është një ndryshim thelbesor, kjo ende duhet të shihet.
OK. Please provide the English text you want me to translate into Standard Albanian. I am ready to translate articles on technology, energy, business, aviation, and news, following all the guidelines you have provided.
Burimi: TechRadar.com
