Lazarus ใช้การเข้ารหัสหลังควอนตัม ML-KEM-1024 ซ่อนเพย์โหลดใน Operation FlashHole — เจาะองค์กรเกาหลีใต้ผ่านโปรแกรมความปลอดภัยการเงิน CrossWeb EX

สรุปสั้น

บริษัท Kaspersky เปิดเผยปฏิบัติการ Operation FlashHole ของกลุ่ม Lazarus ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเจาะองค์กรในเกาหลีใต้อย่างน้อย 3 แห่งในภาคซอฟต์แวร์ ก่อสร้าง และอุปกรณ์สื่อสารแบบใช้สาย หลักฐานแรกสุดของปฏิบัติการย้อนไปถึงเดือนกรกฎาคม 2568 จุดเด่นที่ทำให้ปฏิบัติการนี้ต่างจากเดิม คือ มัลแวร์ LPEClient ใช้ ML-KEM-1024 ซึ่งเป็นกลไกแลกเปลี่ยนกุญแจแบบหลังควอนตัม (post-quantum) ตามมาตรฐาน FIPS 203 ของ NIST สร้างกุญแจร่วมกับเซิร์ฟเวอร์สั่งการ เพื่อป้องกันเพย์โหลดขั้นถัดไประหว่างส่งมาถึงเครื่องเหยื่อ ก่อนถอดรหัสด้วย Threefish แล้วโหลดเข้าหน่วยความจำโดยตรง

ห่วงโซ่การโจมตียังผสมฟิชชิง ซอฟต์แวร์ที่เชื่อถือได้ของเกาหลีใต้ และมัลแวร์หลายตระกูลที่รันในหน่วยความจำเป็นหลัก Kaspersky พบโค้ดอันตรายทำงานภายใต้โปรเซสของ CrossWeb EX โปรแกรมความปลอดภัยการเงินที่ต้องติดตั้งเพื่อเข้าเว็บธนาคารและเว็บรัฐบางแห่งของเกาหลีใต้ แต่ยังยืนยันไม่ได้ว่าโปรแกรมถูกใช้ประโยชน์อย่างไร Kaspersky ประเมินด้วยความมั่นใจปานกลางถึงสูงว่า FlashHole เชื่อมโยงกับปฏิบัติการ Operation SyncHole ก่อนหน้า จากรูปแบบเป้าหมายและมัลแวร์ที่คล้ายกัน

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 22 ตุลาคม 2569 ว่า Lazarus ใช้การเข้ารหัสหลังควอนตัมในห่วงโซ่การส่งมัลแวร์ เพื่อซ่อนเพย์โหลดขั้นหลังจากเครื่องมือรักษาความปลอดภัย อ้างอิงรายงานของทีม GReAT ของ Kaspersky ที่เผยแพร่ผ่าน Securelist

การโจมตีน่าจะเริ่มจากอีเมลฟิชชิงแบบเจาะจงเป้าหมายที่พาเหยื่อไปยังเว็บไซต์ที่ทำขึ้นเฉพาะ เช่น หน้าเรซูเมปลอมหรือหน้าเว็บออกแบบตกแต่งภายใน Kaspersky พบลิงก์อันตรายฝังอยู่ในเว็บเหล่านี้ และประเมินว่าการเปิดลิงก์อาจเป็นจุดเริ่มการติดเชื้อ นักวิจัยยังพบสัญญาณว่ารูปภาพในหน้าเรซูเมหน้าหนึ่งอาจสร้างด้วย AI

ข้อจำกัดของหลักฐานที่ Kaspersky ระบุเอง คือ ยังยืนยันขั้นตอนการเจาะครั้งแรกไม่ได้ทุกขั้น บทบาทของแต่ละเหยื่อล่อจึงยังเป็นการประเมิน ไม่ใช่ข้อเท็จจริงที่พิสูจน์แล้ว และกรณี CrossWeb EX นักวิจัยตามรอยห่วงโซ่ได้ถึงโค้ดอันตรายที่รันภายใต้โปรเซสของโปรแกรม แต่ยังยืนยันวิธีการใช้ประโยชน์ที่แน่ชัดไม่ได้

การใช้ซอฟต์แวร์ความปลอดภัยของเกาหลีใต้เป็นทางผ่านเป็นรูปแบบที่ Lazarus ใช้ซ้ำมาหลายครั้ง รวมถึงกรณีโปรแกรมลงลายมือชื่อดิจิทัล AnySign4PC (โพสต์ 07/304)

วิธีการโจมตี

หลังเจาะเข้าได้ ห่วงโซ่การโจมตีใช้ซอฟต์แวร์ Windows ที่ถูกต้องและการรันโค้ดในหน่วยความจำเพื่อทิ้งร่องรอยบนดิสก์ให้น้อยที่สุด ชุดมัลแวร์ที่พบประกอบด้วย TechHub, TouchHub, TouchShift, ClientHub, LPEClient และ Cubridge โดย TechHub ช่วยส่งคอมโพเนนต์ขั้นถัดไป ตัวอื่นทำหน้าที่คงสิทธิ์ เก็บโปรไฟล์ระบบ และส่งเพย์โหลด ส่วน Cubridge เป็นตัวควบคุมกลางที่โหลดโมดูลและปลั๊กอินแยกกันได้ แทนการใช้แบ็กดอร์ก้อนใหญ่ก้อนเดียว การออกแบบแบบโมดูลทำให้ผู้โจมตีติดตั้งเฉพาะความสามารถที่ต้องใช้กับแต่ละเครื่อง เครื่องมือที่พบเก็บข้อมูลระบบและโปรเซส ค้นไฟล์ และขโมยข้อมูลเบราว์เซอร์ทั้งรหัสผ่านที่บันทึกไว้ คุกกี้ บุ๊กมาร์ก และประวัติการเข้าเว็บ บางคอมโพเนนต์สื่อสารผ่านแพลตฟอร์มถูกกฎหมายอย่าง GitHub ขณะที่บางตัวใช้เว็บไซต์ที่ถูกเจาะหรือ Dropbox

ส่วนที่ใช้การเข้ารหัสหลังควอนตัม การเปลี่ยนแปลงที่เด่นที่สุดอยู่ใน LPEClient มัลแวร์ของ Lazarus ที่ใช้เก็บโปรไฟล์เครื่องที่ติดเชื้อและส่งเพย์โหลดต่อ ในปฏิบัติการนี้ LPEClient ขอบล็อกกุญแจสาธารณะ ML-KEM-1024 จำนวน 4 บล็อกจากเซิร์ฟเวอร์สั่งการ ใช้สร้างกุญแจร่วม แล้วส่ง ciphertext ที่เกี่ยวข้องกลับผ่าน ClientHub กุญแจที่ได้ถูกใช้ร่วมกับอัลกอริทึม Threefish ถอดรหัสเพย์โหลดขั้นถัดไปก่อนโหลดเข้าหน่วยความจำ รายงานยังอธิบายเทคนิคที่ใช้รบกวนการเฝ้าระวังความปลอดภัยก่อนเพย์โหลดนั้นทำงาน

ML-KEM เป็นกลไก key encapsulation ที่ให้สองฝ่ายสร้างความลับร่วมกันผ่านช่องทางสาธารณะได้ แล้วนำไปใช้กับการเข้ารหัสแบบสมมาตร NIST ประกาศเป็นมาตรฐานใน FIPS 203 และ ML-KEM-1024 เป็นชุดพารามิเตอร์ระดับสูงสุด ทั้งนี้การใช้ ML-KEM ไม่ได้แปลว่าผู้โจมตีมีคอมพิวเตอร์ควอนตัม กลไกนี้ออกแบบมาเพื่อทนการถอดรหัสจากคอมพิวเตอร์ควอนตัมในอนาคต ผลในทางปฏิบัติ คือ ผู้ที่ดักทราฟฟิกไว้ได้จะถอดรหัสเพย์โหลดย้อนหลังได้ยากขึ้นมาก

อัปเดต 28 ต.ค. 2569: ห่วงโซ่การติดเชื้อเต็ม ประวัติการใช้ CrossWeb EX และคลื่น COPPERHEDGE

อัปเดต 28 ต.ค. 2569: เว็บไซต์ The Hacker News รายงานเพิ่มเติมจากรายงานฉบับเต็มของ Kaspersky และคำให้สัมภาษณ์ของนาย Sojun Ryu นักวิจัยอาวุโสของ Kaspersky GReAT ซึ่งให้รายละเอียดที่ยังไม่อยู่ในโพสต์นี้หลายประเด็น

ความต่อเนื่องจาก Operation SyncHole — Kaspersky ประเมินว่า FlashHole สานต่อ Operation SyncHole ที่บริษัทเปิดเผยเมื่อเมษายน 2025 ครั้งนั้น Lazarus เล็งภาคซอฟต์แวร์ ไอที การเงิน การผลิตเซมิคอนดักเตอร์ และโทรคมนาคมของเกาหลีใต้ตั้งแต่พฤศจิกายน 2024 โดยใช้ช่องโหว่ใน Cross EX ของบริษัท iniLINE inject โค้ดเข้าโปรเซส SyncHost.exe ที่ถูกต้องเพื่อโหลดแบ็กดอร์ ThreatNeedle และใช้ช่องโหว่ one-day ใน Innorix Agent 9.2.18.496 เพื่อขยับไปเครื่องอื่น รอบนี้เปลี่ยนมาใช้ INISAFE CrossWeb EX ของบริษัท Initech ซึ่งเป็นโปรแกรมความปลอดภัยการเงินภาคบังคับอีกตัวที่พัฒนาร่วมกับ iniLINE มาตั้งแต่ปี 2010 Kaspersky จัด FlashHole เป็นคลื่นล่าสุดของแคมเปญใหญ่ชื่อ Cascade Hole ที่ใช้ซอฟต์แวร์เกาหลีใต้เป็นทางเข้า

Lazarus ใช้ CrossWeb EX มานานแล้ว — ในไตรมาส 3 ปี 2021 กลุ่มนี้ใช้ซอฟต์แวร์ตัวนี้ส่ง downloader ชื่อ Racket ในแคมเปญ DeathNote ช่วงปี 2022-2023 บริษัท AhnLab รายงานว่า Lazarus เจาะเว็บไซต์เกาหลีแล้วแก้เนื้อหา เมื่อเครื่องที่ติดตั้ง INISAFE CrossWeb EX V6 เวอร์ชันที่มีช่องโหว่เข้าเว็บนั้น ไฟล์ SCSKAppLink.dll จะถูกติดตั้งผ่านโปรเซส INISAFECrossWebEXSvc.exe ส่วนเดือนกรกฎาคม 2026 KISA กับผู้ให้บริการความปลอดภัยในประเทศก็เตือนเรื่องการใช้ช่องโหว่ใน AnySign4PC ภายใต้ชื่อ Operation Double Barrel ตามที่รายงานไว้ใน 2026/07/304

ทางเข้าและห่วงโซ่การติดเชื้อ — ทางเข้าที่แน่ชัดยังไม่ยืนยัน แต่หลักฐานชี้ไปที่อีเมลฟิชชิงแบบเจาะจงที่แนบลิงก์ไปเว็บพอร์ตโฟลิโอหรือเรซูเม่ปลอมที่ทำให้ตรงกับเป้าหมายแต่ละราย บางเว็บโฮสต์บน GitHub Pages และหนึ่งในนั้นเป็นเรซูเม่ของนักพัฒนาอุปกรณ์เครือข่ายอาวุโสพร้อมรูปโปรไฟล์ที่น่าจะสร้างด้วย AI เมื่อเหยื่อเข้าเว็บ CrossWeb EX จะเปิดไบนารี Windows ที่ถูกต้องชื่อ fsquirt.exe ซึ่งโหลด DLL อันตราย TechHub ด้วย DLL sideloading จากนั้น TechHub ดึง TouchHub จาก GitHub เพื่อ sideload TouchShift (ไฟล์ mscoree.dll) สำหรับคงสิทธิ์ แล้วรัน TechHub อีกชุดในหน่วยความจำเพื่อดึง ClientHub ซึ่งโหลด LPEClient และ Cubridge ตามลำดับ Kaspersky ระบุว่าห่วงโซ่ช่วงแรกทั้งหมดอยู่แค่ในหน่วยความจำ

สายเลือดของมัลแวร์ — TechHub เป็นรุ่นพัฒนาของ downloader CLOUDBURST และ NickelLoader ส่วน Cubridge เป็นรุ่นพัฒนาของ SIDESHOW, LightlessCan และ CookiePlus ขณะที่ ClientHub เป็นแบ็กดอร์ที่ไม่เคยมีการรายงานมาก่อน มี 2 รุ่น คือ รุ่นที่คุยกับเซิร์ฟเวอร์ผู้โจมตีผ่าน HTTPS และรุ่นที่ใช้ Dropbox API ปลั๊กอินของ ClientHub สร้างไฟล์ ZIP ค้นไฟล์ตามรูปแบบ ลบไฟล์ และเฝ้าดูการเปลี่ยนแปลงของไดรฟ์ ส่วน LPEClient ถูกใช้มาตั้งแต่ปี 2019 และเมื่อสิงหาคม 2026 บริษัท Check Point รายงานว่ามันถูกติดตั้งหลังการเจาะ zero-day CVE-2026-68820 ช่องโหว่ยกระดับสิทธิ์ใน Windows Ancillary Function Driver for WinSock เพื่อวาง rootkit FudModule

ML-KEM ใช้มาตั้งแต่ปี 2024 — นาย Ryu ระบุว่า Kaspersky พบการใช้การเข้ารหัสหลังควอนตัมของ Lazarus ย้อนไปได้อย่างน้อยถึงกันยายน 2024 แปลว่าความสามารถนี้ปกป้องการสื่อสารของมัลแวร์มาแล้วกว่า 1 ปีก่อนการเปิดเผยครั้งนี้

คลื่น COPPERHEDGE ในช่วงเดียวกัน — Kaspersky พบการโจมตีองค์กรเกาหลีใต้อีกระลอกด้วยแบ็กดอร์ COPPERHEDGE ในช่วงเดียวกับ FlashHole อย่างน้อย 1 กรณีจบด้วยข้อมูลถูกนำไปปล่อยบนเว็บไซต์ปล่อยข้อมูลบนดาร์กเว็บชื่อ ULOSE ในลักษณะคล้ายการโจมตีของแรนซัมแวร์ Gunra ต่อหน่วยงานเกาหลีใต้ในช่วงเวลาใกล้กัน ทั้งนี้รายงานไม่ได้ระบุว่าเป็นกลุ่มเดียวกัน

ผลกระทบ

เป้าหมายโดยตรง คือ องค์กรเกาหลีใต้ในภาคซอฟต์แวร์ ก่อสร้าง และอุปกรณ์สื่อสาร การเจาะบริษัทซอฟต์แวร์เป็นจุดน่ากังวลเป็นพิเศษ เพราะ Lazarus มีประวัติใช้บริษัทซอฟต์แวร์เป็นทางผ่านไปหาลูกค้าปลายทาง ผลกระทบจึงอาจกว้างกว่าเหยื่อ 3 รายที่ยืนยันได้

ในเชิงเทคนิค การนำการเข้ารหัสหลังควอนตัมมาใช้ไม่ได้ทำให้ Lazarus เจาะระบบได้เก่งขึ้น แต่ทำให้งานวิเคราะห์และตรวจจับยากขึ้น ทีมที่พยายามถอดรหัสทราฟฟิกที่ดักไว้หรือแยกเพย์โหลดออกมาวิเคราะห์จะเจออุปสรรคมากขึ้น เมื่อรวมกับการรันในหน่วยความจำ การใช้ซอฟต์แวร์ที่เชื่อถือได้เป็นตัวรัน และการสื่อสารผ่าน GitHub หรือ Dropbox การตรวจจับด้วยลายเซ็นไฟล์ที่รู้จักจึงแทบไม่ได้ผล ต้องพึ่งการวิเคราะห์พฤติกรรมเป็นหลัก

คำแนะนำ

• องค์กรที่ใช้ CrossWeb EX หรือซอฟต์แวร์ความปลอดภัยการเงินของเกาหลีใต้ ให้อัปเดตเป็นเวอร์ชันล่าสุด และถอนออกจากเครื่องที่ไม่จำเป็นต้องใช้
• ตั้ง EDR ตรวจ process ลูกที่ผิดปกติและกิจกรรมหน่วยความจำที่ไม่คาดคิดจากแอปพลิเคชันที่เชื่อถือได้ เช่น การ inject โค้ดหรือการโหลด DLL จากโฟลเดอร์ที่ไม่ใช่ที่ติดตั้งปกติ
• ตรวจหาไฟล์ mscoree.dll ที่อยู่นอกโฟลเดอร์ระบบปกติ เช่นใน C:\ProgramData\ หรือโฟลเดอร์ย่อยแปลก ๆ ใน System32 ซึ่งเป็นสัญญาณของ DLL sideloading
• เฝ้าดูการเชื่อมต่อ GitHub หรือ Dropbox จากเครื่องที่ปกติไม่ต้องใช้บริการเหล่านี้ และเชื่อมโยงกับการแจ้งเตือนฝั่ง endpoint
• อบรมพนักงานฝ่ายบุคคลและฝ่ายจัดซื้อให้ระวังอีเมลที่พาไปหน้าเรซูเมหรือพอร์ตโฟลิโอภายนอก
• นำ IoC ด้านล่างเข้าระบบ SIEM และ threat intelligence เพื่อค้นย้อนหลังตั้งแต่กรกฎาคม 2568

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.], hxxp) — แปลงกลับเฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ · ต้นฉบับไม่ได้ระบุว่าแต่ละ hash เป็นไฟล์ใด

แฮชไฟล์ (MD5)

โดเมนและ URL สั่งการ

พาธไฟล์บนเครื่อง

แหล่งอ้างอิง

• Lazarus Operation FlashHole — Kaspersky Securelist
• FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard — NIST
• North Korean Hackers Use Post-Quantum Encryption to Hide New Malware From Security Tools — Cyber Security News
• Lazarus Abuses South Korean Security Software to Deploy Malware Using Post-Quantum Encryption — The Hacker News
• APT trends report Q3 2021 — Kaspersky Securelist