Lazarus Pakai Enkripsi Post-Quantum demi Amankan Malware Curian

Telset.id – Kelompok peretas asal Korea Utara, Lazarus Group, dilaporkan menggunakan kriptografi post-quantum ML-KEM-1024 untuk melindungi pengiriman malware dalam kampanye yang dijuluki Operation FlashHole. Temuan Kaspersky Global Research and Analysis Team (GReAT) ini menunjukkan bahwa pelaku serangan siber negara adidaya justru mengadopsi teknologi enkripsi pertahanan masa depan lebih cepat dibanding banyak produk keamanan komersial.

Kampanye Operation FlashHole sendiri disebut aktif setidaknya sejak Juli 2025 dan telah menyasar sedikitnya tiga organisasi di Korea Selatan, mencakup sektor perangkat lunak, konstruksi, serta manufaktur peralatan komunikasi kabel. Informasi ini menjadi penting karena menandai pergeseran taktik kelompok yang sebelumnya dikenal lewat serangan destruktif, kini memperkuat lapisan pertahanan komunikasi malware-nya.

Dalam analisisnya, Kaspersky menemukan bahwa versi terbaru LPEClient, sebuah tool milik Lazarus Group, kini memakai ML-KEM-1024 sebagai mekanisme pertukaran kunci yang dirancang tahan terhadap serangan komputer kuantum di masa depan. Enkripsi tersebut digunakan untuk mengamankan kanal yang dipakai mengunduh malware tambahan. ML-KEM-1024 merupakan parameter set terkuat dari tiga opsi dalam standar FIPS 203 milik NIST, dan menjadi algoritma yang ditetapkan NSA untuk pembentukan kunci dalam kerangka CNSA 2.0 bagi sistem keamanan nasional Amerika Serikat.

Jalur Masuk Lewat Resume Palsu dan Plugin Keamanan

Cara masuknya terbilang familiar. Kaspersky menemukan sebuah situs GitHub Pages yang terhubung ke akun GitHub, dibuat pada September 2025, yang dipakai pelaku untuk command and control. Situs itu awalnya menampilkan resume seorang calon senior network appliance developer, kemungkinan dilihat oleh karyawan perusahaan pembuat peralatan komunikasi. Pada Januari 2026, konten situs diganti menjadi etalase desain interior yang kemungkinan menyasar perusahaan konstruksi.

Kaspersky menilai dengan keyakinan medium-to-high bahwa target menerima email spear-phishing berisi tautan ke situs tersebut, yang kemudian memuat JavaScript dari domain yang dikendalikan penyerang. Meski demikian, Kaspersky tidak dapat memastikan secara pasti apa yang memicu infeksi awal tersebut.

Dari titik itu, rantai serangan berlanjut melalui INISAFE CrossWeb EX, perangkat lunak keamanan finansial yang dibutuhkan warga Korea Selatan untuk mengakses banyak layanan perbankan online dan situs pemerintah. Cara penyalahgunaannya tidak jelas, namun malware berhasil berjalan di memori dengan hak istimewa yang ditingkatkan, dipicu oleh build CrossWeb EX yang dirilis pada 2023 setelah adanya peringatan publik dari KrCERT Korea Selatan.

Jalur ini bukan hal baru. Kaspersky menyebut Lazarus telah menyalahgunakan CrossWeb EX pada 2021, 2022, dan 2023. Dalam Operation SyncHole yang diungkap April 2025, kelompok ini memakai Cross EX, program terkait, untuk mengompromikan sedikitnya enam organisasi. Lazarus juga dilaporkan mengeksploitasi zero-day pada MagicLine4NX, tool autentikasi lain asal Korea Selatan.

Kaspersky meyakini foto pada situs resume tersebut dihasilkan AI, dengan alasan metadata EXIF yang hilang dan tekstur yang tidak wajar. Situsnya pun kemungkinan besar dibangun AI, mengingat nama kandidat yang mirip padanan “John Doe” versi Korea serta portofolio berisi detail pengisi dan perusahaan yang tidak berkaitan.

ojun Ryu, senior security researcher di Kaspersky GReAT, menyebut temuan ini menunjukkan Lazarus “membawa AI ke dalam playbook yang sudah lama mereka bangun”, sebuah pergeseran yang juga diamati Kaspersky pada kelompok-kelompok yang berafiliasi dengan Lazarus. Pola serupa terlihat dari Kimsuky yang memakai ChatGPT untuk memalsukan ID militer Korea Selatan, hingga pekerja IT Korea Utara yang menggunakan AI generatif untuk diterima di perusahaan Barat.

Perubahan di Dalam LPEClient dan Lapisan Kriptografi

Perubahan yang lebih mencolok justru ada di dalam LPEClient, tool profiling dan pengiriman payload yang pertama muncul pada 2019. Versi baru tidak lagi menyimpan alamat servernya sendiri. Sebagai gantinya, tool ini merelai lalu lintas melalui ClientHub, loader yang baru ditemukan dengan varian yang berkomunikasi dengan operator melalui Dropbox.

LPEClient memprofilkan produk keamanan yang terpasang dan level patch Windows, kini juga memeriksa apakah proteksi seperti Shadow Stack aktif, lalu mengenkripsi laporan tersebut dengan GOST, standar cipher nasional Rusia. Adapun bagian post-quantum bekerja dengan cara server mengirim empat public key ML-KEM-1024, LPEClient menurunkan empat shared secret, lalu menggabungkannya menjadi satu kunci 128-byte untuk Threefish, block cipher tweakable yang awalnya dibuat untuk fungsi hash Skein. Kunci itu mendekripsi payload berikutnya yang langsung dimuat ke memori.

Kaspersky dalam laporannya mencatat secara ironis bahwa kelompok ini tampak “mengadopsi kriptografi post-quantum yang lebih aman lebih cepat dibanding banyak produk keamanan yang sah”. Ryu menambahkan bahwa bagian yang “layak mendapat perhatian lebih” adalah adopsi kriptografi yang dirancang untuk menahan ancaman kuantum di masa depan, yang menurut Kaspersky dapat dilacak setidaknya sejak September 2024.

Jika benar, Lazarus telah memakai teknologi tersebut dalam hitungan minggu setelah NIST merampungkan standar post-quantum pertamanya pada 13 Agustus 2024, dan lebih dari dua tahun sebelum pengungkapan bulan ini. Kaspersky juga bukan pihak pertama yang melihatnya. Pada Agustus 2026, Check Point Research mendeskripsikan sebuah modul dalam gelombang Dream Job terpisah yang menyasar perusahaan pertahanan, mengambil empat public key dari servernya dan memakai Kyber/ML-KEM untuk menyepakati kunci guna mengunduh FudModule, rootkit yang mengeksploitasi zero-day Windows CVE-2026-68820 yang kini sudah ditambal. Kaspersky mengidentifikasi modul tersebut sebagai LPEClient.

Sampai saat ini belum ada komputer kuantum publik yang mampu memecahkan pertukaran kunci klasik yang melindungi sebagian besar lalu lintas internet. Artinya, ML-KEM hanya memberi Lazarus keunggulan jika ada pihak yang merekam lalu lintas mereka hari ini dan mendekripsinya ketika mesin semacam itu benar-benar ada, skenario “harvest now, decrypt later” yang mendorong migrasi kriptografi di sektor sipil. Bagi operasi spionase negara yang lawannya mencakup badan intelijen dengan pendanaan besar, menjaga tooling tetap tertutup dari kemungkinan itu adalah pilihan yang rasional meski berorientasi ke depan.

Pembacaan Kaspersky sendiri adalah bahwa kelompok ini ingin menyembunyikan payload tahap akhirnya. Namun lapisan post-quantum tidak menyembunyikan malware di tempat ia berjalan. Enkripsi tersebut melindungi data saat transit, dan analisis Kaspersky atas malware itu sendiri justru membuka seluruh pertukaran kunci. Kaspersky menilai pekerjaan ini menunjuk pada adanya pengembang khusus, dan sisa toolkit mendukung pandangan itu. ClientHub memakai stream cipher SNOW, yang menurut Kaspersky merupakan pertama kali bagi Lazarus, serta menyalin header yang dikirim browser berbasis Chromium agar menyatu dengan lingkungan.

Kaspersky meyakini fokus pada perusahaan perangkat lunak, satu-satunya sektor yang terkena di SyncHole maupun FlashHole, mencerminkan keinginan memperoleh source code yang dapat ditambang untuk menemukan kerentanan baru. Hal ini juga membedakan spionase FlashHole dari klaster serangan paralel berbasis backdoor COPPERHEDGE milik Lazarus yang tampaknya berorientasi mencari uang.

Bagi calon defender, pelajarannya justru ada pada metode pengiriman, bukan pada kriptografinya, yakni resume palsu yang meyakinkan dan plugin keamanan yang dipercaya. Saran Kaspersky, yang sekaligus mempromosikan produknya sendiri, mencakup memverifikasi tautan tak terduga meski mengarah ke situs profesional yang rapi, menambal secepat mungkin, menghapus komponen yang tidak diperlukan, membatasi hak istimewa pengguna, serta mengawasi koneksi ke layanan cloud seperti GitHub dan Dropbox yang bisa berfungsi ganda sebagai kanal komando.

Karena lapisan post-quantum tidak melakukan apa pun untuk menyembunyikan aktivitas malware di mesin itu sendiri, perangkat lunak perlindungan endpoint yang mumpuni tetap menjadi tempat paling realistis untuk menangkapnya. Apakah pendekatan berbantuan AI yang baru ditemukan ini menjadi pengubah permainan, masih harus dibuktikan.

Praktik penyalahgunaan tool keamanan yang sah seperti CrossWeb EX juga sejalan dengan peringatan yang muncul di berbagai forum industri. Sebelumnya, pengelolaan security debt menjadi sorotan karena komponen yang tidak diperbarui memperbesar risiko bisnis. Di sisi lain, investasi AI biosecurity menunjukkan bahwa teknologi AI kini dipakai di dua sisi, baik untuk pertahanan maupun oleh pelaku serangan.

Di sisi lain, adopsi kriptografi baru oleh aktor ancaman juga memunculkan pertanyaan tentang kesiapan industri keamanan menyongsong era kuantum. Sejumlah pihak menilai akuisisi demi keamanan AI menjadi salah satu jalan yang ditempuh vendor untuk mempercepat kapabilitas pertahanan mereka.

[IMAGE: https://cdn.mos.cms.futurecdn.net/4ARu4ZX7vVKepMN6WsZgUm.jpg | Alt: “Quantum computing” | Caption: “Ilustrasi komputasi kuantum, teknologi yang mendorong migrasi ke kriptografi post-quantum.”]