> ## Content Index
> Fetch the complete content index at: https://admin.kod.ru/llms.txt
> Use this file to discover other available public pages before exploring further.

# Хакеры Lazarus начали защищать вредоносы постквантовым шифрованием
- URL: https://admin.kod.ru/lazarus-postkvantovoe-shifrovanie/
- Published: 2026-10-21T09:41:10.000Z
- Updated: 2026-10-21T09:41:10.000Z
- Description: Группировка атаковала компании в Южной Корее через поддельные сайты с резюме, а для связи вредоносов с серверами применила алгоритм ML-KEM-1024.
- Author: Кирилл Сергеев
- Tags: Новости

Северокорейская группировка Lazarus провела новую шпионскую кампанию с ИИ и постквантовой криптографией. Об этом [рассказала](https://www.kaspersky.ru/about/press-releases/laboratoriya-kasperskogo-obnaruzhila-novuyu-kampaniyu-kibershpionazha-lazarus-s-ispolzovaniem-ii-i-postkvantovogo-shifrovaniya?ref=admin.kod.ru) «Лаборатория Касперского».

Кампания получила название Operation FlashHole. По данным исследователей Kaspersky GReAT, она идёт как минимум с июля 2025 года и затронула не менее трёх организаций в Южной Корее: строительную компанию, разработчика ПО и производителя оборудования для проводной связи. Результаты представили на конференции Security Analyst Summit 2026.

Атака начиналась с фишинговых писем со ссылками на поддельные сайты с резюме и портфолио, подогнанные под конкретного получателя. Один такой сайт нашли на GitHub Pages: на нём лежало резюме якобы опытного разработчика сетевого оборудования, а фото «соискателя» было сгенерировано нейросетью. Связанный с ним аккаунт GitHub, созданный в сентябре 2025 года, хакеры заодно использовали как канал управления. Исследователи предполагают, что ИИ помогал и подгонять сайты под цели.

Посещение сайта, по оценке экспертов, с высокой вероятностью запускало заражение через CrossWeb EX. Это легитимная программа для защиты финансовых операций, без которой в Южной Корее не пройти веб-аутентификацию на сайтах большинства банков и госучреждений. Предположительно, злоумышленники воспользовались уязвимостью в ней.

В атаках нашли два ранее не описанных инструмента, TouchHub и ClientHub. Они устанавливают дополнительное вредоносное ПО, выполняют команды на заражённых устройствах и поддерживают связь с атакующими, одна из версий для этого использует Dropbox. Обновлённый загрузчик LPEClient собирает сведения о системе и установленных средствах защиты, сжимает и шифрует их перед отправкой, а также пытается обходить мониторинг антивирусов.

Для соединения с сервером атакующих LPEClient применяет ML-KEM-1024\. Это постквантовый алгоритм обмена ключами, рассчитанный на защиту от взлома будущими квантовыми компьютерами. После установки защищённого канала программа загружает и запускает другие вредоносные модули прямо в памяти, не записывая их на диск. По данным компании, такую криптографию группировка использует как минимум с сентября 2024 года.

> «Группировка также начинает интегрировать искусственный интеллект в свои давно сложившиеся тактики», — отметил старший исследователь Kaspersky GReAT Соджун Рю.