# Piratas norte-coreanos já usam criptografia pós-quântica, a mesma do Chrome, para esconder o malware

> A Kaspersky descobriu que o grupo Lazarus protege a entrega dos seus programas maliciosos com o ML-KEM, o algoritmo que a NIST normalizou em 2024 para resistir a computadores quânticos. Segundo os investigadores, os atacantes adotaram-no mais depressa do que muitos produtos de segurança legítimos.

- Publicação: MEGAzine (https://megazine.pt/)
- Endereço: https://megazine.pt/seguranca/piratas-norte-coreanos-ja-usam-criptografia-pos-quantica-a-mesma-do-chrome-para
- Categoria: Segurança
- Autoria: Redação
- Publicado: 28 de outubro de 2026
- Etiquetas: Lazarus, Coreia do Norte, Criptografia pós-quântica, Kaspersky, Malware

## Em resumo

- A Kaspersky revelou a 21 de outubro a operação FlashHole, que atribui ao grupo norte-coreano Lazarus e que começou a ser preparada em julho de 2025.
- Pelo menos três empresas sul-coreanas foram afetadas, dos setores do software, da construção e do fabrico de equipamento de comunicações.
- O malware recebe chaves ML-KEM-1024, um mecanismo pós-quântico normalizado pela NIST, para decifrar as peças seguintes do ataque.
- As vítimas eram atraídas com sites falsos de currículos e portefólios alojados no GitHub, com sinais de imagens criadas por IA.
- Não há indicação de vítimas em Portugal: o ataque explora software de segurança obrigatório na Coreia do Sul.

O grupo Lazarus, ligado à Coreia do Norte, passou a usar criptografia pós-quântica para proteger a entrega dos seus programas maliciosos. A descoberta é da Kaspersky, que publicou a 21 de outubro a análise de uma campanha a que chamou FlashHole, dirigida a empresas da Coreia do Sul. O algoritmo em causa é o ML-KEM, o mesmo tipo de mecanismo que os browsers começaram a usar para proteger as ligações contra futuros computadores quânticos. Os investigadores notam, com alguma ironia, que o grupo parece tê-lo adotado mais depressa do que muitos produtos de segurança legítimos.

## Como funciona o ataque

Segundo a Kaspersky, as primeiras provas da operação remontam a julho de 2025, e a empresa respondeu ao ataque em janeiro. Foram identificadas pelo menos três organizações afetadas, dos setores do software, da construção e do fabrico de equipamento de comunicações com fios, mas o BleepingComputer, que noticiou o caso, refere que os investigadores suspeitam de mais vítimas. O ponto de entrada eram emails dirigidos a pessoas concretas, com ligações para sites falsos alojados no GitHub: primeiro uma página com o currículo de um suposto programador, depois um portefólio de design de interiores. A fotografia do candidato tinha sinais de ter sido criada por IA, o que leva a Kaspersky a concluir que o grupo já usa estas ferramentas para preparar os engodos.

A partir daí, o ataque aproveitava o CrossWeb EX, um programa de segurança que os sul-coreanos são obrigados a instalar para aceder a muitos bancos online e serviços públicos. A cadeia de infeção corre quase toda na memória do computador, deixando poucos vestígios no disco, e instala vários programas encadeados. Um deles abre uma porta das traseiras que permite gerir ficheiros, executar comandos e tirar capturas de ecrã. O BleepingComputer acrescenta que foram vistas ferramentas para roubar credenciais, cookies e histórico de browsers baseados no Chromium.

## Porque é que o ML-KEM importa

O ML-KEM é um mecanismo de troca de chaves que a agência norte-americana NIST publicou como norma a 13 de agosto de 2024, derivado de um algoritmo chamado CRYSTALS-Kyber. Foi pensado para resistir a ataques de computadores quânticos e o Chrome passou a usá-lo nas ligações seguras pouco depois. Na FlashHole, o malware recebe do servidor dos atacantes quatro chaves ML-KEM-1024, gera a partir delas chaves partilhadas e usa-as para decifrar as peças seguintes do ataque. Para a Kaspersky, o objetivo é esconder esses componentes de quem tente intercetar e analisar o tráfego.

Na prática, a escolha não torna o ataque mais perigoso para a vítima, mas complica o trabalho de quem o investiga. É também um sinal de que um algoritmo pensado para o futuro já está a ser usado por grupos com recursos para o integrar rapidamente.

## O que muda para quem está em Portugal

Não há nenhuma indicação de vítimas fora da Coreia do Sul, e o ataque depende de um software que só é obrigatório nesse país. O governo sul-coreano anunciou em outubro de 2025 que vai deixar de exigir este tipo de programas a partir de 2026, mas a Kaspersky prevê que os ataques através deste software continuem muito ativos até ele desaparecer de vez. A lição que serve para qualquer empresa é a da porta de entrada: ofertas de emprego, currículos e portefólios enviados por desconhecidos continuam a ser um dos engodos preferidos do Lazarus. A Kaspersky publicou a lista de domínios e ficheiros usados na campanha para que as equipas de segurança os possam bloquear.