Lazarus Pakai Enkripsi Post-Quantum demi Lindungi Malware

Telset.id – Grup peretas asal Korea Utara, Lazarus Group, tertangkap menggunakan kriptografi post-quantum ML-KEM-1024 untuk melindungi pengiriman malware dalam kampanye yang dijuluki Operation FlashHole. Temuan Kaspersky Global Research and Analysis Team (GReAT) ini menunjukkan bahwa aktor ancaman negara mengadopsi teknologi enkripsi yang justru masih diperjuangkan banyak pihak untuk melindungi data mereka sendiri.

Menurut analisis Kaspersky, versi terbaru LPEClient, tool milik Lazarus Group, kini memakai ML-KEM-1024, mekanisme pertukaran kunci yang dirancang menahan serangan komputer kuantum di masa depan, untuk mengamankan kanal unduhan malware lanjutan. Kampanye ini aktif setidaknya sejak Juli 2025 dan telah mengenai setidaknya tiga organisasi Korea Selatan di sektor perangkat lunak, konstruksi, dan manufaktur peralatan komunikasi kabel.

Lapisan post-quantum tersebut melindungi lalu lintas data dari upaya dekripsi di masa depan, bukan deteksi endpoint. Kaspersky menilai jalur masuk paling mungkin tetap melalui phishing, meski tidak dapat memastikan pemicu infeksi secara pasti. Temuan ini memperkuat gambaran bahwa perlindungan berbasis AI dan kriptografi modern menjadi medan baru dalam pertahanan siber, sejalan dengan AI Driven Security yang tengah didorong di Indonesia.

Résumé Palsu Berbantuan AI dan Plugin Tepercaya

Jalur masuk yang ditemukan Kaspersky terbilang familiar. Peneliti menemukan situs GitHub Pages yang terhubung ke akun GitHub, dibuat pada September 2025, yang dipakai pelaku untuk command and control. Situs itu awalnya menampilkan résumé seorang calon senior network appliance developer, kemungkinan dilihat oleh karyawan perusahaan peralatan komunikasi, sebelum ditukar pada Januari 2026 menjadi showcase desain interior yang kemungkinan menyasar perusahaan konstruksi.

Kaspersky menilai dengan keyakinan medium-to-high bahwa target menerima email spear-phishing berisi tautan ke situs tersebut, yang memuat JavaScript dari domain kendali penyerang. Kaspersky meyakini foto pada situs résumé dihasilkan AI, terlihat dari metadata EXIF yang hilang dan tekstur yang tidak natural. Situsnya pun kemungkinan dibangun AI, mengingat nama kandidat menyerupai padanan “John Doe” versi Korea serta portofolio berisi detail pengisi dan perusahaan tak terkait.

Dari sana, rantai serangan melewati INISAFE CrossWeb EX, perangkat lunak keamanan finansial yang dibutuhkan warga Korea Selatan untuk mengakses banyak situs perbankan online dan pemerintah. Cara penyalahgunaannya belum jelas, tetapi malware akhirnya berjalan di memori dengan hak istimewa tinggi, dipicu oleh build CrossWeb EX yang dirilis pada 2023 setelah adanya advisory publik dari KrCERT Korea Selatan. Kaspersky mencatat Lazarus telah menyalahgunakan CrossWeb EX pada 2021, 2022, dan 2023, serta memakai Cross EX dalam Operation SyncHole yang diungkap April 2025 untuk mengompromikan setidaknya enam organisasi.

Ojun Ryu, senior security researcher Kaspersky GReAT, menyebut temuan ini menunjukkan Lazarus “bringing AI into its long-established playbook”, pergeseran yang juga diamati Kaspersky pada grup-grup yang berafiliasi dengan Lazarus. Pola serupa terlihat dari Kimsuky yang memakai ChatGPT untuk memalsukan ID militer Korea Selatan hingga pekerja IT Korea Utara yang memanfaatkan AI generatif untuk diterima di perusahaan Barat. Ancaman berbasis AI ini menuntut kesiapan pertahanan yang lebih serius, termasuk cara Kelola Security Debt secara disiplin.

LPEClient, ClientHub, dan Empat Pertukaran Kunci

Perubahan paling mencolok ada di dalam LPEClient, tool profiling dan pengiriman payload yang pertama muncul pada 2019. Versi baru tidak lagi menyimpan alamat servernya sendiri; sebagai gantinya, ia merelay lalu lintas melalui ClientHub, loader yang baru ditemukan dengan varian yang berkomunikasi dengan operator melalui Dropbox. LPEClient memprofil produk keamanan yang terpasang dan level patch Windows, kini juga memeriksa apakah proteksi seperti Shadow Stack aktif, lalu mengenkripsi laporan itu dengan GOST, standar cipher nasional Rusia.

Pada bagian post-quantum, server mengirim empat public key ML-KEM-1024, LPEClient menurunkan empat shared secret darinya, dan keempatnya digabungkan menjadi satu kunci 128-byte untuk Threefish, block cipher tweakable yang awalnya dibuat untuk fungsi hash Skein. Kunci itu mendekripsi payload berikutnya yang langsung dimuat ke memori. ML-KEM-1024 adalah parameter set terkuat dari tiga set dalam standar FIPS 203 NIST, dan yang ditetapkan NSA untuk key establishment di bawah CNSA 2.0, suite algoritma untuk sistem keamanan nasional AS.

Laporan Kaspersky mencatat dengan sedikit ironi bahwa grup tersebut tampak “adopted more secure post-quantum cryptography faster than many legitimate security products”. Ryu menyebut bagian yang “deserves closer attention” adalah adopsi kriptografi yang dirancang menahan ancaman kuantum di masa depan, yang menurut Kaspersky dapat dilacak setidaknya sejak September 2024. Jika benar, Lazarus telah memakai teknologi itu dalam hitungan minggu setelah NIST merampungkan standar post-quantum pertamanya pada 13 Agustus 2024, dan lebih dari dua tahun sebelum pengungkapan bulan ini.

Kaspersky bukan yang pertama melihat ini. Pada Agustus 2026, Check Point Research mendeskripsikan sebuah modul dalam gelombang Dream Job terpisah yang menyasar perusahaan pertahanan, yang mengambil empat public key dari servernya dan memakai Kyber/ML-KEM untuk menyepakati kunci guna mengunduh FudModule, rootkit yang mengeksploitasi zero-day Windows CVE-2026-68820 yang kini telah ditambal. Kaspersky mengidentifikasi modul itu sebagai LPEClient, dan kampanye tersebut mendapat liputan luas saat itu.

Belum ada komputer kuantum yang diketahui publik mampu memecahkan pertukaran kunci klasik yang melindungi sebagian besar lalu lintas internet. Karena itu, ML-KEM hanya memberi keunggulan bagi Lazarus jika ada pihak yang merekam lalu lintasnya hari ini dan mendekripsinya saat mesin semacam itu ada, skenario “harvest now, decrypt later” yang mendorong migrasi di sektor sipil. Bagi operasi spionase negara yang lawannya mencakup badan intelijen berpendanaan besar, menjaga tooling tetap tertutup dari kemungkinan itu adalah pilihan rasional meski berorientasi ke depan. Isu keamanan data yang kompleks seperti ini juga menjadi sorotan dalam kasus Dampak Halusinasi AI.

Pembacaan Kaspersky sendiri adalah bahwa grup tersebut ingin menyembunyikan payload tahap akhirnya. Namun lapisan itu tidak menyembunyikan malware di tempat ia berjalan; lapisan post-quantum melindungi data saat transit, dan analisis Kaspersky atas malware itu sendiri justru membuka seluruh pertukaran kunci. Kaspersky menilai pekerjaan ini menunjuk pada adanya developer khusus, dan sisa toolkit mendukung pandangan tersebut: ClientHub memakai stream cipher SNOW, yang menurut Kaspersky merupakan pertama kali bagi Lazarus, serta menyalin header yang dikirim browser berbasis Chromium agar menyatu dengan lingkungan.

Kaspersky meyakini fokus pada perusahaan perangkat lunak, satu-satunya sektor yang terkena di SyncHole maupun FlashHole, mencerminkan keinginan memperoleh source code yang dapat ditambang untuk menemukan kerentanan baru. Hal ini juga membedakan spionase FlashHole dari klaster serangan paralel berbasis backdoor COPPERHEDGE milik Lazarus yang tampaknya berorientasi mencari uang.

Bagi calon defender, pelajarannya terletak pada jalur pengiriman, bukan pada kriptografinya: résumé palsu yang meyakinkan dan plugin keamanan tepercaya. Saran Kaspersky, yang sekaligus mempromosikan produknya sendiri, mencakup verifikasi tautan tak terduga meski mengarah ke situs profesional yang rapi, patch cepat, menghapus komponen yang tidak diperlukan, membatasi hak istimewa pengguna, dan mengawasi koneksi ke layanan cloud seperti GitHub dan Dropbox yang bisa berfungsi ganda sebagai kanal komando. Karena lapisan post-quantum tidak melakukan apa pun untuk menyembunyikan aktivitas malware di mesin itu sendiri, perangkat lunak perlindungan endpoint yang mumpuni tetap menjadi tempat paling realistis untuk menangkapnya. Apakah pendekatan berbantuan AI yang baru ditemukan ini menjadi game changer, masih harus dilihat.