Les pirates nord-coréens de Lazarus chiffrent maintenant la livraison de leurs logiciels espions avec un algorithme conçu pour résister aux ordinateurs quantiques. D'après Kaspersky, ils ont probablement adopté cette protection plus vite que bien des produits de sécurité légitimes.
Au moins trois entreprises sud-coréennes, dont un éditeur de logiciels et un fabricant d'équipements de télécommunications, ont été infectées par Lazarus lors de l'opération FlashHole, d'après les chercheurs de Kaspersky. Les premières traces de cette campagne remontent à juillet 2025. Les pirates ont mêlé à leurs outils habituels deux programmes jamais vus jusqu'ici. Avec TouchHub, ils enregistrent un service Windows et gardent la main sur la machine après chaque redémarrage, et avec ClientHub, ils font transiter leurs échanges par des sites piratés ou par Dropbox. Surtout, ils ont verrouillé l'envoi de leur logiciel espion final avec un chiffrement post-quantique, et Check Point a signalé ce procédé en août chez des industriels de la défense en France.
Quatre clés post-quantiques pour cacher le logiciel espion
Lazarus inventorie les machines infectées avec LPEClient depuis 2019 et ses développeurs ont profondément remanié ce programme. Dans FlashHole, les pirates lui envoient quatre clés publiques ML-KEM-1024 depuis leur serveur de commande. Le NIST américain a standardisé ML-KEM en 2024 afin de protéger les échanges de clés contre les futurs ordinateurs quantiques. Quatre secrets partagés sont tirés de ces clés puis réunis en une clé de 256 octets, avec laquelle la réponse du serveur est déchiffrée par l'algorithme Threefish.
Cette réponse contient Cubridge, chargée directement en mémoire sans passer par le disque. Avec cette porte dérobée, les pirates prennent la main sur le poste et installent un outil de vol des mots de passe enregistrés dans Chrome ou Edge. « Le recours à la cryptographie post-quantique montre que le groupe veut cacher les charges suivantes », écrit Sojun Ryu, chercheur chez Kaspersky. Sans la clé privée restée sur le serveur des pirates, les équipes de sécurité ne peuvent pas reconstituer le programme livré à partir du trafic réseau enregistré, même avec un futur ordinateur quantique.
Lazarus a donc emprunté un standard encore récent chez les défenseurs. Les messages de Signal et de Tuta sont chiffrés avec ML-KEM, associé à un échange de clés classique. En France, l'ANSSI réclamera la cryptographie post-quantique dès 2027 aux produits candidats à sa qualification, et déconseille tout achat d'équipement sans ce chiffrement après 2030.
En France, des industriels de la défense touchés en août
Les chercheurs de Check Point ont vu les pirates de Lazarus réclamer quatre clés publiques ML-KEM à leur serveur avant de télécharger un exploit pour Windows, lors d'une vague de l'opération Dream Job menée cet été. Dans cette campagne, Lazarus approche les salariés d'entreprises de défense avec de fausses offres d'emploi, dont une description de poste chez Lockheed Martin. Les pirates ont surtout attaqué des spécialistes des drones et de la robotique militaires, et le rapport de Check Point signale aussi des victimes au Brésil et en Inde. « Des attaques réussies ont été observées en Europe de l'Ouest, notamment en France et en Allemagne », précise Check Point. Une organisation basée en France a même été piratée, puis les pirates ont envoyé depuis ses systèmes des messages d'hameçonnage personnalisés à d'autres entreprises.
Avec l'exploit téléchargé, les pirates utilisaient la faille CVE-2026-68820 du pilote réseau AFD.sys afin d'obtenir les droits SYSTEM, puis installaient leur rootkit FudModule, conçu pour aveugler les outils de détection. Microsoft a corrigé cette faille avec le Patch Tuesday d'août. Si votre PC Windows n'a reçu aucune mise à jour depuis l'été, installez celles d'août sans attendre.
Les deux campagnes passent par des leurres soignés. Dans FlashHole, les pirates ont vraisemblablement attiré leurs victimes, par courriel, vers un faux CV hébergé sur GitHub Pages, avec une photo probablement générée par IA. Chez Dream Job, de faux recruteurs contactent probablement leurs proies sur LinkedIn. Si un recruteur vous demande d'installer un lecteur PDF pour consulter une offre, méfiez-vous. Kaspersky soupçonne un développeur attitré derrière ces outils sans cesse retouchés, et ses chercheurs pensent que bien d'autres organisations ont été infectées en Corée du Sud.
