Security · 27.10.2026
Die nordkoreanische Lazarus-Gruppe nutzt Schwachstellen in südkoreanischer Sicherheitssoftware, um Malware mit Post-Quanten-Verschlüsselung einzuschleusen.
Die nordkoreanische Hacker-Gruppe Lazarus hat im Rahmen einer Cyber-Spionagekampagne namens „Operation FlashHole“ Sicherheitslücken in weit verbreiteter südkoreanischer Sicherheitssoftware ausgenutzt. Ziel der Angriffe waren mindestens drei Organisationen aus den Bereichen Bauwesen, Softwareentwicklung und Telekommunikation. Besonders besorgniserregend ist, dass die Angreifer eine neue Malware-Variante einsetzen, die verschlüsselte Verbindungen auf Basis von Post-Quanten-Kryptografie nutzt, um die Entdeckung durch traditionelle Netzwerksicherheitslösungen zu erschweren.
Obwohl sich diese spezielle Kampagne primär gegen südkoreanische Ziele richtete, zeigt der Vorfall einen besorgniserregenden Trend für IT-Sicherheitsverantwortliche weltweit und im DACH-Raum. Die Lazarus-Gruppe ist bekannt für ihre hohe technische Anpassungsfähigkeit. Die missbrauchte Software wird häufig für rechtssichere Online-Transaktionen und Web-Security eingesetzt. Wenn Angreifer legitime Sicherheitssoftware korrumpieren (Supply-Chain-Angriffe), versagen herkömmliche Vertrauensmodelle in Unternehmensnetzwerken. Zudem deutet der Einsatz von Post-Quanten-Kryptografie in der Malware darauf hin, dass Cyberkriminelle ihre Verschlüsselungsmethoden aktiv aufrüsten, um moderne Erkennungsmechanismen wie Deep Packet Inspection zu umgehen. DACH-Unternehmen, die globale Lieferketten pflegen oder Niederlassungen in Ostasien betreiben, müssen sich dieser veränderten Bedrohungslage bewusst sein.
Administratoren und Sicherheitsverantwortliche sollten proaktiv handeln, um ihre Systeme gegen solche raffinierten Angriffe zu schützen. Erstens ist eine lückenlose Überwachung aller installierten Sicherheits- und Administrations-Clients auf Endgeräten unerlässlich. Softwarelizenzen und Signatur-Updates müssen stets auf dem neuesten Stand gehalten werden. Zweitens empfiehlt sich die Implementierung eines strikten Zero-Trust-Ansatzes: Auch vertrauenswürdige Sicherheitsanwendungen dürfen im Netzwerk nicht uneingeschränkt agieren. Drittens sollten Netzwerk-Monitoring-Tools so konfiguriert werden, dass sie ungewöhnliche, hochverschlüsselte Datenströme zu unbekannten IP-Adressen blockieren oder zur tiefergehenden Analyse isolieren.
Der Missbrauch von legitimer Sicherheitssoftware in Kombination mit fortschrittlicher Post-Quanten-Verschlüsselung markiert eine neue Eskalationsstufe in der Cyber-Spionage. IT-Abteilungen im DACH-Raum dürfen Sicherheits-Clients nicht blind vertrauen, sondern müssen diese als potenzielle Einfallstore begreifen und entsprechend restriktiv überwachen.
Quelle: The Hacker News