Il Gruppo Lazarus, legato alla Corea del Nord, ha iniziato a utilizzare la crittografia post-quantistica per proteggere le comunicazioni tra i sistemi infettati da malware e i suoi operatori, secondo i ricercatori di cybersicurezza di Kaspersky. Il gruppo ha inoltre utilizzato l’intelligenza artificiale per creare identità false di dipendenti ed e-mail di phishing contenenti link a curriculum fraudolenti.
Kaspersky ha indagato su una campagna di ciber-spionaggio che prendeva di mira aziende sudcoreane nei settori dell’edilizia, del software e delle apparecchiature per le telecomunicazioni. Le vittime che aprivano i link scaricavano spyware progettati per rimanere difficili da rilevare mentre sottraevano informazioni dai loro computer.
Le tecniche di phishing non erano nuove, ma i ricercatori hanno individuato l’uso di meccanismi crittografici post-quantistici come uno sviluppo degno di nota. Tali sistemi sono progettati per rimanere sicuri contro i computer quantistici, che sono ancora sperimentali ma potrebbero alla fine riuscire a violare alcune forme di crittografia utilizzate oggi.
Sojun Ryu, ricercatore di Kaspersky, ha affermato che la tecnologia suggeriva che Lazarus stesse già affrontando le vulnerabilità future. Ha aggiunto che lo sviluppo di uno strumento del genere indicava che il gruppo aveva destinato risorse al miglioramento delle proprie capacità malware e poteva mantenere team separati per le operazioni, gli attacchi mirati e gli strumenti specializzati.
La crittografia post-quantistica si basa su problemi matematici considerati difficili persino per i computer quantistici. Al contrario, alcuni sistemi crittografici ampiamente utilizzati dipendono da problemi che i computer convenzionali faticano a risolvere, ma che computer quantistici sufficientemente potenti potrebbero gestire più facilmente.
Il primo attacco informatico noto che coinvolgeva la crittografia post-quantistica è stato identificato a marzo in un’operazione ransomware attribuita a Kyber, un gruppo relativamente nuovo i cui possibili legami con uno Stato restano sconosciuti. Lazarus ha adottato una tecnologia simile circa sei mesi dopo, dimostrando la propria capacità di integrare strumenti crittografici avanzati nel suo arsenale.
Anna Širokova, analista di Rapid7, che ha individuato l’uso della tecnologia da parte di Kyber, ha descritto la crittografia post-quantistica nei ransomware come una potenziale tattica di marketing. Ha sostenuto che l’affermazione potrebbe sembrare più intimidatoria ai dirigenti non tecnici che devono decidere se pagare un riscatto, anche se gli aggressori in genere pretendono il pagamento entro un breve periodo.
Si prevede che i computer quantistici siano ancora lontani anni, o forse decenni, da un uso commerciale diffuso. Ryu ha tuttavia affermato che la decisione di Lazarus di proteggere in anticipo i propri payload dannosi dimostrava una pianificazione a lungo termine e il desiderio di impedire a difensori e ricercatori di accedervi in futuro.
Nel rapporto, Lazarus viene descritto come un nome collettivo per diverse squadre d’élite di hacker ufficiosamente sponsorizzate dalla Corea del Nord. A differenza di molte minacce persistenti avanzate legate a Stati, che si concentrano principalmente sullo spionaggio o sul sabotaggio, il gruppo è stato utilizzato anche per generare entrate per Pyongyang in mezzo alle sanzioni internazionali. Ha condotto importanti furti di criptovalute, tra cui il furto di 1,5 miliardi di dollari da Bybit in un solo giorno.
Fonti: El País Tecnología.