Die nordkoreanische Lazarus Group verschlüsselt die Steuerkanäle ihrer Schadsoftware mit Verfahren, die als Schutz vor künftigen Quantencomputern gedacht sind. Zwei unabhängige Forschungsteams haben den Einsatz des NIST-Standards ML-KEM in laufenden Spionagekampagnen dokumentiert – gegen Ziele in Südkorea, aber auch in Deutschland. Für Verteidiger ist das ein doppeltes Problem: Die Kanäle werden undurchsichtiger, und die eigene Krypto-Migration liefert dagegen keinen Schutz.
Was Daten schützen soll, schützt jetzt auch Angreifer.
Am 21. Oktober stellte Kasperskys Global Research and Analysis Team die Kampagne Operation FlashHole auf dem Security Analyst Summit in Bali vor. Sie läuft nachweislich seit mindestens Juli 2025 und traf mindestens drei Organisationen in Südkorea – aus Bauwirtschaft, Softwarebranche und der Herstellung kabelgebundener Kommunikationsgeräte 1. Der Einstieg erfolgte über Spear-Phishing mit Links auf gefälschte Lebenslauf- und Portfolioseiten; eine davon lag auf GitHub Pages und diente zugleich als Steuerkanal 2.
Rund zwei Monate zuvor hatte Check Point Research eine andere Welle derselben Gruppe beschrieben: Operation Dream Job gegen Rüstungs-, Luftfahrt- und Raumfahrtunternehmen, mit Aktivitäten in Frankreich, Deutschland, Brasilien und Indien 3. Dort verteilten die Angreifer einen manipulierten PDF-Betrachter und nutzten eine Zero-Day-Lücke im Windows-Treiber AFD.sys, die Microsoft am 11. August 2026 schloss 3 4.
Was beide Kampagnen technisch verbindet, ist ein Kryptobaustein, der eigentlich aus der Abwehrperspektive stammt: ML-KEM, das Schlüsselaustauschverfahren, das das US-Standardinstitut NIST 2024 als Teil seiner ersten Post-Quanten-Standards veröffentlichte.
Vier Schlüssel und ein gemeinsames Geheimnis
Kaspersky beschreibt, wie die aktuelle Version von LPEClient – 2019 erstmals aufgetaucht, 2020 entdeckt – ihren Nachladekanal absichert. Zunächst sammelt die Malware Systemdaten: installierte Antivirenprodukte, Patchstand von Windows, Status von Kernel-Adressraum-Isolierung und Shadow-Stack-Schutz. Diese Angaben komprimiert sie mit XPRESS-Huffman, verschlüsselt sie mit GOST und schickt sie über ein zweites Schadprogramm namens ClientHub an den Angreifer 2.
Danach fordert LPEClient vier Datenblöcke von je 1.568 Byte an, in denen jeweils ein öffentlicher Schlüssel des Verfahrens ML-KEM-1024 steckt. Aus ihnen erzeugt die Malware vier gemeinsame Geheimnisse samt Chiffraten, verschlüsselt die Chiffrate wiederum mit GOST und schickt sie zurück. Die Antwort entschlüsselt sie mit Threefish, wobei der 256-Byte-Schlüssel aus den vier Geheimnissen zusammengesetzt wird 2. Erst danach wird die Nutzlast geladen: größer als vier Kilobyte, beginnend mit „MZ“, also eine Windows-Executable, die direkt im Arbeitsspeicher läuft 2.
Check Point fand dasselbe Muster in einem Modul zur Rechteausweitung: vier öffentliche Schlüssel, neues Schlüsselmaterial über Kyber/ML-KEM, zusätzlich eine GOST-CBC-Schicht über der AES-Transportverschlüsselung von MISTPEN 3.
Für die Einordnung ist zweierlei wichtig. Erstens ist ML-KEM kein Verschlüsselungsverfahren für Nutzdaten, sondern ein Key-Encapsulation-Mechanism; es vereinbart allein einen symmetrischen Schlüssel, die eigentliche Arbeit leisten Threefish, GOST oder AES. Zweitens ist an keiner Stelle ein Quantencomputer im Spiel. Die Gruppe nutzt Quantensicherheit nicht, um Quantencomputer zu besiegen, sondern um ihre Kanäle für Netzwerküberwachung, TLS-Interception und Deep Packet Inspection undurchsichtig zu machen.
Schneller als viele Verteidiger
Kaspersky datiert den ersten Einsatz dieser Verfahren in der Gruppe auf mindestens September 2024 1. „Was mehr Aufmerksamkeit verdient, ist die Übernahme von Kryptografie, die künftigen Quantenbedrohungen standhalten soll“, sagte Sojun Ryu, Senior Security Researcher bei Kaspersky GReAT. Die Ergebnisse zeigten, dass diese Fähigkeiten die Kommunikation der Malware bereits mehr als ein Jahr vor der aktuellen Veröffentlichung geschützt hätten 1.
Deutlicher formulieren die Autoren des technischen Berichts: Ironischerweise habe die Gruppe sicherere Post-Quanten-Kryptografie schneller übernommen als viele legitime Sicherheitsprodukte 2. Das ist keine Polemik, sondern eine Beobachtung über Anreize. Ein Angreifer muss keine Abwärtskompatibilität, keine Zertifikatsketten und keine Bestandssoftware berücksichtigen. Er tauscht ein Modul aus und ist fertig.
Der Nutzen ist nicht kryptografisch, sondern operativ: Wer den Schlüsselaustausch mit einem Verfahren absichert, das keine gängige Middlebox entschlüsseln kann, entzieht der netzwerkseitigen Erkennung die Grundlage. Die Malware muss nicht unauffälliger werden – nur der Inhalt des Kanals darf nicht mehr lesbar sein.
Wie die Forscher zuordnen
Kaspersky stützt seine Zuordnung auf mittlere bis hohe Konfidenz. Als starken Indikator nennt das Team LPEClient, das auch in der Vorgängerkampagne Operation SyncHole auftauchte. Hinzu kommen Überschneidungen mit dem Werkzeugbestand der Dream-Job-Kampagne: TechHub ist bei Mandiant als CLOUDBURST und bei ESET als NickelLoader dokumentiert, Cubridge als SIDESHOW beziehungsweise LightlessCan, ClientHub gilt als weiterentwickeltes CookiePlus 2.
Check Point argumentiert über Infrastruktur und Werkzeuge: eine neue Version des Kernel-Rootkits FudModule, die 94 ETW-Provider blind macht und zusätzlich die Smart-App-Control-Richtlinie von Windows manipuliert, dazu eine bislang unbekannte PHP-Webshell namens RelayShell. Die Steuerinfrastruktur lief fast vollständig auf fremden Servern – kompromittierte Roundcube-Webmail-Instanzen über die Lücke CVE-2025-49113 sowie PrestaShop-Seiten. Mindestens 17 solcher Relay-Knoten ließen sich identifizieren 3.
Beide Zuordnungen bleiben Wahrscheinlichkeitsaussagen, keine Beweise. Eine unabhängige Bestätigung durch staatliche Stellen liegt nicht vor. Die Überschneidungen bei Werkzeugen, Infrastruktur und Vorgehen sind jedoch so eng, dass an der Urheberschaft aus dem nordkoreanischen Umfeld wenig Zweifel bestehen.
Was diese Erkenntnis für die Verteidigung bedeutet
Für Sicherheitsteams verschiebt sich der Schwerpunkt. Wer Angriffe bislang anhand von Netzwerksignaturen erkannt hat, verliert mit zunehmender Verschlüsselung eine seiner wichtigsten Datenquellen. Endpoint-Telemetrie, Speicherforensik und Verhaltensanalyse werden wichtiger – zumal beide Kampagnen ihre Nutzlast überwiegend im Arbeitsspeicher halten und auf der Festplatte kaum Spuren hinterlassen 2 3.
Umgekehrt entsteht ein neues Erkennungssignal: Ein ML-KEM-Schlüsselaustausch in einem Prozess, der eigentlich keine TLS-Verbindung aufbauen sollte – ein Update-Dienst, ein PDF-Betrachter, ein Hintergrunddienst –, ist ein belastbarer Anomaliehinweis. Kaspersky hat für FlashHole Dateihashes, Dateipfade und C2-Adressen veröffentlicht 2, Check Point entsprechende Indikatoren für Dream Job 3.
Bemerkenswert ist die Agilität der Gruppe. TechHub kombiniert RSA mit AES und nutzt GitHub als Kanal, Cubridge setzt auf RSA und RC6, ClientHub auf den SNOW-Stream-Chiffre, LPEClient auf GOST, Threefish und ML-KEM 2. Ein russischer Standard und ein NIST-Standard stehen gleichberechtigt nebeneinander. Die Auswahl folgt dem Zweck, nicht der Herkunft.
Die eigene Migration schützt nicht vor diesem Angreifer
Seit Mitte Oktober liegt die deutsche Leitlinie zur Umstellung auf Post-Quanten-Kryptografie vor, erarbeitet von Bundesdigitalministerium, Innenministerium und BSI. Sie übernimmt den Drei-Stufen-Plan der EU: Anwendungsfälle mit hohem Risiko sollen bis Ende 2030 quantensicher sein, solche mit mittlerem Risiko bis Ende 2035; bis Ende 2026 sollen die zuständigen Gremien die Fristen verbindlich übernehmen. Die Leitlinie verlangt ein Krypto-Inventar und empfiehlt hybride Verfahren aus klassischen und Post-Quanten-Algorithmen 5.
Diese Migration ist richtig, aber überfällig. Und sie löst ein anderes Problem, als viele erwarten. Sie schützt die Vertraulichkeit eigener Daten gegen künftige Quantencomputer – sie macht verschlüsselte Angriffskanäle nicht sichtbar und Malware nicht harmlos. Wer daraus ableitet, die eigene Angriffsfläche schrumpfe, verwechselt zwei Bedrohungsmodelle.
Ein zweiter Punkt betrifft den Umfang des Krypto-Inventars. Im südkoreanischen Fall war der Einstiegspunkt eine Software, die Nutzer nicht abwählen können: CrossWeb EX ist für Online-Banking und Behördenseiten verpflichtend, läuft im Hintergrund und vergrößert die Angriffsfläche erheblich. Eine USENIX-Studie von 2025 hat diese Nebenwirkungen untersucht 2. Südkorea hatte im Oktober 2025 angekündigt, die Pflichtinstallation solcher Programme ab 2026 schrittweise abzuschaffen 2. Bis dahin rechnet Kaspersky mit weiteren Angriffen auf genau diese Software.
Für Sicherheitsteams ergibt sich daraus eine konkrete Suchregel: Wo ein ML-KEM-Handshake in einem Kontext auftaucht, in dem er technisch keinen Sinn ergibt, handelt es sich womöglich nicht um Migrationsfortschritt, sondern um einen Angreifer. Die vollständigen technischen Analysen beider Kampagnen sind öffentlich einsehbar 2 3.
Ähnliche Artikel
