Les pirates nord-coréens de Lazarus chiffrent leurs outils à l'épreuve des ordinateurs quantiques

Sur une page hébergée par GitHub, un candidat se présente comme « développeur senior d'équipements réseau ». Son CV est accompagné d'une photo. Selon Kaspersky, ce visage a très probablement été généré par une IA, et le candidat n'existe pas. La page servait d'appât à une opération d'espionnage que l'éditeur attribue à Lazarus, un groupe de pirates lié à la Corée du Nord.

Le 21 octobre, l'équipe de recherche de Kaspersky (GReAT) a publié sur son blog Securelist l'analyse de cette campagne, baptisée FlashHole, et l'a présentée au Security Analyst Summit, à Bali. Active depuis au moins juillet 2025, elle a touché au moins trois entreprises sud-coréennes : un éditeur de logiciels, une société de construction et un fabricant d'équipements de communication filaire. Kaspersky s'attend à un nombre de victimes « considérablement » plus élevé. Un détail retient l'attention : pour récupérer ses charges malveillantes, l'un des outils du groupe utilise ML-KEM. C'est l'algorithme de chiffrement post-quantique normalisé par le NIST, l'institut américain des normes, en août 2024 (norme FIPS 203).

Un faux CV, puis un logiciel de sécurité bancaire détourné

Les cibles recevaient des courriels personnalisés qui menaient vers de faux CV ou portfolios publiés sur GitHub Pages. Pour Kaspersky, l'IA a « très probablement » servi à les fabriquer. La photo ne contient aucune métadonnée et sa texture paraît peu naturelle. Le portfolio, lui, aligne des détails sans signification et des entreprises choisies au hasard.

L'attaque passe ensuite par INISAFE CrossWeb EX, un logiciel de sécurité imposé pour les services financiers en ligne en Corée du Sud. Kaspersky ignore comment il a été détourné. Selon l'éditeur, une possible faille de ce logiciel pourrait avoir servi de porte d'entrée. Kaspersky renvoie à un rapport du spécialiste coréen AhnLab, qui confirme des failles exploitées dans des logiciels de sécurité financière coréens, sans toutefois les nommer. Un programme Windows légitime est alors lancé, puis injecté de code malveillant. Plusieurs outils prennent le relais : deux inédits, TouchHub et ClientHub, puis LPEClient, un outil ancien de Lazarus, et enfin Cubridge, une porte dérobée qui gère les fichiers, exécute des commandes et prend des captures d'écran. Presque tout s'exécute en mémoire, sans laisser de fichier sur le disque.

Pourquoi se protéger d'un ordinateur quantique qui n'existe pas encore ?

C'est LPEClient qui utilise ML-KEM. D'après Securelist, le serveur des pirates lui envoie quatre clés publiques ML-KEM-1024, la variante la plus robuste de l'algorithme. Le logiciel en tire quatre secrets partagés et renvoie au serveur les données nécessaires, elles-mêmes chiffrées avec un algorithme de la famille GOST. Ces secrets servent ensuite à déchiffrer la charge suivante, la porte dérobée Cubridge, chargée directement en mémoire.

« L'usage de la cryptographie post-quantique montre que le groupe entend cacher les charges suivantes », écrit Kaspersky. Le gain est réel, mais il faut le mesurer. Face à un analyste d'aujourd'hui, un chiffrement classique bien conçu suffisait déjà. ML-KEM ajoute une garantie : un trafic enregistré maintenant ne pourra pas être déchiffré plus tard, même par un futur ordinateur quantique. Kaspersky souligne que le groupe semble avoir adopté cette cryptographie plus vite que bien des produits de sécurité légitimes, et fait remonter son usage au moins à septembre 2024.

Ce que les défenseurs peuvent en retenir

Rien ici ne fragilise le chiffrement des entreprises. ML-KEM est un outil public, disponible dans des bibliothèques libres, et les attaquants s'en servent comme tout le monde. La détection ne repose donc pas sur le déchiffrement des échanges, mais sur les comportements. Kaspersky recommande notamment :

• de former les équipes à repérer l'hameçonnage ciblé et à signaler les messages suspects ;
• d'appliquer vite les correctifs et de désactiver les composants inutiles ;
• de limiter les privilèges des utilisateurs ;
• de surveiller les connexions vers les services en nuage que les pirates détournent pour piloter leurs outils, comme GitHub ou Dropbox.

Kaspersky ne signale pas de victime hors de Corée du Sud, pays déjà secoué ce mois-ci par le piratage de plusieurs de ses banques. Une question reste ouverte : combien d'autres familles de logiciels malveillants ont déjà fait ce choix sans être repérées ? Les défenseurs, eux, en sont encore à la migration, comme le montre notre point sur la cryptographie post-quantique en octobre 2026.