Piratas norte-coreanos já usam criptografia pós-quântica, a mesma do Chrome, para esconder o malware

O grupo Lazarus, ligado à Coreia do Norte, passou a usar criptografia pós-quântica para proteger a entrega dos seus programas maliciosos. A descoberta é da Kaspersky, que publicou a 21 de outubro a análise de uma campanha a que chamou FlashHole, dirigida a empresas da Coreia do Sul. O algoritmo em causa é o ML-KEM, o mesmo tipo de mecanismo que os browsers começaram a usar para proteger as ligações contra futuros computadores quânticos. Os investigadores notam, com alguma ironia, que o grupo parece tê-lo adotado mais depressa do que muitos produtos de segurança legítimos.

Como funciona o ataque

Segundo a Kaspersky, as primeiras provas da operação remontam a julho de 2025, e a empresa respondeu ao ataque em janeiro. Foram identificadas pelo menos três organizações afetadas, dos setores do software, da construção e do fabrico de equipamento de comunicações com fios, mas o BleepingComputer, que noticiou o caso, refere que os investigadores suspeitam de mais vítimas. O ponto de entrada eram emails dirigidos a pessoas concretas, com ligações para sites falsos alojados no GitHub: primeiro uma página com o currículo de um suposto programador, depois um portefólio de design de interiores. A fotografia do candidato tinha sinais de ter sido criada por IA, o que leva a Kaspersky a concluir que o grupo já usa estas ferramentas para preparar os engodos.

A partir daí, o ataque aproveitava o CrossWeb EX, um programa de segurança que os sul-coreanos são obrigados a instalar para aceder a muitos bancos online e serviços públicos. A cadeia de infeção corre quase toda na memória do computador, deixando poucos vestígios no disco, e instala vários programas encadeados. Um deles abre uma porta das traseiras que permite gerir ficheiros, executar comandos e tirar capturas de ecrã. O BleepingComputer acrescenta que foram vistas ferramentas para roubar credenciais, cookies e histórico de browsers baseados no Chromium.

Porque é que o ML-KEM importa

O ML-KEM é um mecanismo de troca de chaves que a agência norte-americana NIST publicou como norma a 13 de agosto de 2024, derivado de um algoritmo chamado CRYSTALS-Kyber. Foi pensado para resistir a ataques de computadores quânticos e o Chrome passou a usá-lo nas ligações seguras pouco depois. Na FlashHole, o malware recebe do servidor dos atacantes quatro chaves ML-KEM-1024, gera a partir delas chaves partilhadas e usa-as para decifrar as peças seguintes do ataque. Para a Kaspersky, o objetivo é esconder esses componentes de quem tente intercetar e analisar o tráfego.

Na prática, a escolha não torna o ataque mais perigoso para a vítima, mas complica o trabalho de quem o investiga. É também um sinal de que um algoritmo pensado para o futuro já está a ser usado por grupos com recursos para o integrar rapidamente.

O que muda para quem está em Portugal

Não há nenhuma indicação de vítimas fora da Coreia do Sul, e o ataque depende de um software que só é obrigatório nesse país. O governo sul-coreano anunciou em outubro de 2025 que vai deixar de exigir este tipo de programas a partir de 2026, mas a Kaspersky prevê que os ataques através deste software continuem muito ativos até ele desaparecer de vez. A lição que serve para qualquer empresa é a da porta de entrada: ofertas de emprego, currículos e portefólios enviados por desconhecidos continuam a ser um dos engodos preferidos do Lazarus. A Kaspersky publicou a lista de domínios e ficheiros usados na campanha para que as equipas de segurança os possam bloquear.

LazarusCoreia do NorteCriptografia pós-quânticaKasperskyMalware