هشدار کارشناسان امنیتی؛ هکرهای کره شمالی از هوش مصنوعی و رمزنگاری پسا کوانتومی استفاده می‌کنند

• کسپرسکی گزارش می‌دهد که عملیات FlashHole متعلق به گروه لازاروس، دست‌کم از ژوئیه ۲۰۲۵ فعال بوده و حداقل سه شرکت کرهای در حوزه‌های نرم‌افزار، ساختوساز و تجهیزات مخابراتی را هدف قرار داده است.
• نسخه بهروزشده ابزار LPEClient برای محافظت از فرایند بارگیری بدافزار، از چهار تبادل کلید بر پایه الگوریتم ML-KEM-1024 استفاده می‌کند؛ ساختاری که کارشناسان Check Point نیز پیشتر آن را مستند کرده بودند.
• این لایه رمزنگاری پسا کوانتومی از داده‌های در حال انتقال در برابر رمزگشایی در آینده محافظت می‌کند و مانع شناسایی بدافزار روی سامانه مقصد نمی‌شود؛ هم‌چنین فیشینگ محتملترین مسیر نفوذ هکرها ارزیابی شده است.

بدنامترین گروه هکری کره شمالی هنگام محافظت از بدافزارهای خود با همان فناوری رمزنگاری پسا کوانتومی شناسایی شد که دولت‌ها و غول‌های فناوری جهان هم‌اکنون در حال پیاده‌سازی آن برای حفاظت از اطلاعات حساس خود هستند.

تیم تحقیقات و تحلیل جهانی کسپرسکی (GReAT) در تحلیل خود از کارزاری موسوم به عملیات FlashHole اعلام کرد که نسخه بهروزشدهای از ابزار LPEClient متعلق به گروه لازاروس، اکنون از مکانیزم تبادل کلید ML-KEM-1024 بهره می‌برد. این پروتکل بهگون‌های طراحی شده است که در برابر حملات کامپیوترهای کوانتومی در آینده مقاومت کند و کانال ارتباطی دانلود بدافزارهای ثانویه را امن سازد.

این یافته‌ها کارزاری را به تصویر می‌کشند که دست‌کم از ژوئیه ۲۰۲۵ فعال بوده و حداقل سه سازمان در کره جنوبی را در بخش‌های نرم‌افزار، ساختوساز و تولید تجهیزات ارتباطی سیمی هدف حمله قرار داده است.

رزومه جعلی ساختهشده با هوش مصنوعی، پلاگین اجباری و رمزنگاری مقاوم در برابر کوانتوم

مسیر نفوذ کاملاً آشنا بود: کارشناسان کسپرسکی یک وب‌سایت مبتنی بر GitHub Pages وابسته به حسابی را شناسایی کردند که در سپتامبر ۲۰۲۵ ساخته شده بود و مهاجمان از آن به‌عنوان سرور فرماندهی و کنترل استفاده میکردند. این سایت ابتدا رزومه فردی را به‌عنوان توسعه‌دهنده ارشد تجهیزات شبکه نمایش میداد که احتمالاً یکی از کارمندان شرکت سازنده تجهیزات ارتباطی آن را مشاهده کرده بود. مهاجمان سپس در ژانویه ۲۰۲۶ محتوای آن را با یک نمونهکار طراحی دکوراسیون داخلی جایگزین کردند تا احتمالاً شرکت ساختوساز را هدف قرار دهند.

کسپرسکی با اطمینان متوسط تا بالا ارزیابی می‌کند که قربانیان ایمیل‌های فیشینگ هدفمندی دریافت کرده‌اند که حاوی لینک به این وب‌سایتها بوده است؛ وب‌سایتهایی که کدهای جاوااسکریپت را از دامن‌های تحت کنترل مهاجمان بارگذاری میکردند، هرچند نحوه دقیق شروع آلودگی اولیه هنوز مشخص نیست.

پس از آن، زنجیره حمله از طریق نرم‌افزار امنیتی مالی INISAFE CrossWeb EX پیش رفت؛ برنامه‌ای که شهروندان کره جنوبی برای دسترسی به بسیاری از خدمات بانکداری آنلاین و وب‌سایتهای دولتی ملزم به استفاده از آن هستند. چگونگی سوءاستفاده از این ابزار دقیقاً روشن نیست، اما بدافزار در نهایت با سطح دسترسی ارتقایافته در حافظه رم اجرا شد؛ فرآیندی که توسط نسخه‌ای از CrossWeb EX انجام گرفت که در سال ۲۰۲۳ پس از هشدار عمومی مرکز KrCERT کره جنوبی منتشر شده بود.

این یک مسیر کاملاً شناختهشده است؛ به گفته کسپرسکی، گروه لازاروس در سال‌های ۲۰۲۱، ۲۰۲۲ و ۲۰۲۳ نیز از CrossWeb EX سوءاستفاده کرده بود و در عملیات SyncHole که در آوریل ۲۰۲۵ افشا شد، از ابزار مشابهی به نام Cross EX برای نفوذ به دست‌کم شش سازمان بهره برد. این گروه هم‌چنین سابقه بهرهبرداری از یک آسیبپذیری روز صفر در ابزار احراز هویت MagicLine4NX را در پرونده خود دارد.

پژوهشگران کسپرسکی بر این باورند که عکس استفادهشده در سایت رزومه با هوش مصنوعی ساخته شده است؛ ادعایی که نبود متادیتای EXIF و بافت غیرطبیعی تصویر آن را تأیید می‌کند. افزون بر این، به نظر می‌رسد کل وب‌سایت نیز با هوش مصنوعی تولید شده باشد؛ زیرا نام متقاضی بسیار عمومی و شبیه به اسامی ساختگی بود و بخش نمونهکارها نیز با جزئیات بیفایده و نام شرکت‌های نامرتبط پر شده بود.

اوجون ریو (Ojun Ryu)، پژوهشگر ارشد امنیت در تیم GReAT کسپرسکی، اشاره می‌کند که این یافته‌ها نشان می‌دهند گروه لازاروس در حال افزودن ابزارهای هوش مصنوعی به دستورالعمل‌های قدیمی حملات خود است؛ تغییری که در میان سایر گروه‌های هکری همسو با لازاروس نیز مشاهده شده است. این روند با الگوی گستردەتری در عملیات‌های سایبری کره شمالی مطابقت دارد؛ از جمله استفاده گروه کیمسوکی (Kimsuky) از ChatGPT برای جعل کارت شناسایی نظامی کره جنوبی و بهره‌گیری کارشناسان فناوری اطلاعات کره شمالی از هوش مصنوعی مولد برای استخدام در شرکت‌های غربی.

تحول چشمگیرتر در داخل ابزار LPEClient رخ داده است؛ ابزاری برای ارزیابی مشخصات سیستم قربانی و تحویل بسته‌های مخرب که نخستین بار در سال ۲۰۱۹ مشاهده شد. نسخه جدید این ابزار دیگر آدرس سرور اختصاصی خود را ذخیره نمی‌کند، بلکه ترافیک ارتباطی را از طریق ClientHub هدایت می‌نماید؛ لودر تازهای که نسخه‌ای از آن حتی با سرور فرماندهی خود از طریق سرویس Dropbox ارتباط برقرار می‌کند. این بدافزار محصولات امنیتی نصبشده و سطح به‌روزرسانی ویندوز را تحلیل می‌کند، وضعیت فعال بودن سازوکارهای محافظتی نظیر Shadow Stack را می‌سنجد و گزارش نهایی را با استاندارد ملی رمزنگاری روسیه موسوم به GOST رمزگذاری می‌نماید.

گروهی هکری که خود نگران امنیت اطلاعات است؟

سپس نوبت به بخش پسا کوانتومی این معادله می‌رسد. سرور مهاجمان چهار کلید عمومی مبتنی بر ML-KEM-1024 را ارسال می‌کند و LPEClient چهار رمز مشترک از آنها استخراج می‌نماید؛ این مقادیر در نهایت به یک کلید واحد ۱۲۸ بایتی برای الگوریتم Threefish تبدیل می‌شوند که یک رمز بلوکی تغییرپذیر بر پایه تابع درهمساز Skein است. این کلید وظیفه رمزگشایی بدافزار بعدی را بر عهده دارد که مستقیماً در حافظه رم سیستم اجرا می‌شود.

الگوریتم ML-KEM-1024 قدرتمندترین پیکربندی از میان سه مجموعه پارامتر در استاندارد FIPS 203 سازمان NIST به‌شمار می‌رود و همان گزین‌های است که آژانس امنیت ملی آمریکا (NSA) در چارچوب مجموعه الگوریتم‌های CNSA 2.0 برای سیستم‌های امنیت ملی خود الزامی کرده است. در گزارش کسپرسکی با طعنه اشاره شده است که به نظر می‌رسد این گروه هکری «رمزنگاری پسا کوانتومی ایمن‌تر را حتی سریع‌تر از بسیاری از محصولات امنیتی قانونی و معتبر تجاری پیاده‌سازی کرده است».

به گفته اوجون ریو، بخشی که شایسته توجه ویژهای است، استفاده این گروه از رمزنگاری طراحی شده برای مقاومت در برابر تهدیدات کوانتومی آینده است؛ رویکردی که پیشینه آن بر اساس بررسی‌های کسپرسکی دست‌کم به سپتامبر ۲۰۲۴ بازمیگردد. در صورت صحت این ارزیابی، لازاروس تنها چند هفته پس از نهایی شدن نخستین استانداردهای پسا کوانتومی سازمان NIST در ۱۳ اوت ۲۰۲۴ و بیش از دو سال پیش از افشای عمومی این گزارش، استفاده از این فناوری را آغاز کرده بود.

کسپرسکی نخستین مجموعه‌ای نیست که متوجه این موضوع شده است. در اوت ۲۰۲۶، پژوهشگران Check Point Research ماژولی را شرح دادند که در کارزار دیگری با نام «شغل رویایی» (Dream Job) علیه شرکت‌های صنایع دفاعی به کار گرفته شد. این ماژول چهار کلید عمومی را از سرور دریافت میکرد و با استفاده از Kyber/ML-KEM روی یک کلید برای دانلود FudModule توافق مینمود؛ روتکیتی که از آسیبپذیری روز صفر ویندوز با شناسه CVE-2026-68820 سوءاستفاده میکرد که البته اکنون ترمیم شده است. کسپرسکی تأیید می‌کند که آن ماژول نیز همان LPEClient بوده است؛ کارزاری که در آن مقطع بازتاب گستردهای در رسانه‌ها داشت.

در حال حاضر هیچ کامپیوتر کوانتومی شناختهشدهای وجود ندارد که بتواند تبادل کلیدهای کلاسیک مورد استفاده در اکثر ترافیک اینترنت را بشکند؛ بنابراین، الگوریتم ML-KEM تنها در صورتی برای لازاروس یک مزیت به‌شمار می‌آید که نهادهای امنیتی ترافیک بدافزار را امروز ضبط کنند و در آینده، با ظهور رایانه‌های کوانتومی قدرتمند، آن را رمزگشایی نمایند. این سازوکار دقیقاً همان سناریوی «امروز ذخیره کن، بعداً رمزگشایی کن» است که انگیزه اصلی مهاجرت جهان به استانداردهای پسا کوانتومی محسوب می‌شود.

برای یک عملیات جاسوسی دولتی که رقبای اصلی آن سازمان‌های اطلاعاتی با بودجه‌های کلان هستند، محافظت از ابزارهای بدافزاری در برابر چنین سناریویی، اقدامی منطقی و حتی آیندهنگرانه محسوب می‌شود. ارزیابی پژوهشگران کسپرسکی این است که این گروه می‌خواهد محموله‌های مراحل پایانی بدافزار خود را از دید این سازمان‌ها مخفی نگه دارد.

با این حال، این لایه از بدافزار در جایی که اجرا می‌شود محافظت نمی‌کند؛ چراکه رمزنگاری پسا کوانتومی صرفاً از داده‌ها در حین انتقال محافظت می‌نماید و تحلیل کسپرسکی از خود بدافزار، تمامی این ارتباطات را به‌طور کامل فاش کرد. متخصصان کسپرسکی می‌گویند این پیچیدگی‌ها نشاندهنده حضور یک توسعه‌دهنده نرمافزاری کاملاً تخصصی است و ساختار بقیه ابزارها نیز این دیدگاه را تأیید می‌کند: لودر ClientHub از رمز جریانی SNOW استفاده می‌کند که به گفته کسپرسکی نخستین بار است در حملات لازاروس دیده می‌شود و هدرهای ارسالی مرورگرهای مبتنی بر کرومیوم را شبیه‌سازی می‌کند تا ترافیک خود را با ترافیک عادی وب درآمیزد.

کسپرسکی معتقد است تمرکز هکرها بر شرکت‌های نرمافزاری، به‌عنوان تنها بخشی که در هر دو کارزار SyncHole و FlashHole هدف قرار گرفته است، نشاندهنده تمایل شدید آنها به دستیابی به کدهای منبع این برنامه‌ها است تا از آنها برای کشف و بهرهبرداری از روزنه‌های امنیتی جدید استفاده کنند. این هدف‌گذاری هم‌چنین ماهیت جاسوسی عملیات FlashHole را از شاخه دیگری از حملات هم‌زمان لازاروس بر پایه دربپشتی COPPERHEDGE متمایز می‌سازد که هدف اصلی آن کسب درآمد مالی به نظر می‌رسد.

برای مدافعان امنیت سایبری، درس اصلی این حملات بیش از آنکه در رمزنگاری پسا کوانتومی نهفته باشد، در شیوه نفوذ مهاجمان است: رزومه‌های جعلی باورپذیر و سوءاستفاده از پلاگین‌های امنیتی مورد اعتماد. توصیه‌های کارشناسان برای مقابله با چنین تهدیداتی شامل مواردی نظیر بررسی دقیق لینک‌های غیرمنتظره حتی در صورت هدایت به سایت‌های به‌ظاهر معتبر، نصب سریع وصله‌های امنیتی، حذف بخش‌های نرمافزاری غیرضروری، محدود کردن سطح دسترسی کاربران و پایش مستمر اتصالات به سرویس‌های ابری مانند GitHub و Dropbox است که ممکن است به‌عنوان کانال‌های فرماندهی مهاجمان به کار گرفته شوند.

از آنجا که لایه پسا کوانتومی هیچ نقشی در پنهان کردن رفتار بدافزار روی خود سیستم قربانی ندارد، نرم‌افزارهای کارآمد محافظت از نقاط پایانی (Endpoint) همچنان عملیترین ابزار برای به دام انداختن آن به‌شمار می‌روند. با این حال، هنوز باید منتظر ماند و دید که آیا رویکرد جدید هکرها در بهکارگیری هوش مصنوعی واقعاً قواعد بازی را به نفع آنها تغییر خواهد داد یا خیر.