Durante años, el eslabón más frágil de una campaña de espionaje digital ha sido el tramo en que el implante pide permiso al servidor de control para descargar la pieza siguiente. Ese tramo viaja cifrado, pero con algoritmos que un analista con tiempo y hardware puede atacar. El grupo norcoreano Lazarus cambió esa pieza por criptografía poscuántica, según el análisis que BleepingComputer publicó el 21 de octubre de 2026: el malware LPEClient recibe claves públicas ML-KEM del servidor y las usa para descifrar el ejecutable que remata la infección.
ML-KEM no es una invención exótica. Es el mecanismo de encapsulación de claves que NIST aprobó en agosto de 2024 como FIPS 203, la versión normalizada de CRYSTALS-Kyber, pensada para que las comunicaciones sobrevivan a un ordenador cuántico que todavía no está construido.
El hallazgo importa por dos motivos que van en direcciones distintas. El primero es que un grupo con recursos estatales adoptó un estándar criptográfico de 2024 antes que buena parte del software comercial que debería proteger a sus clientes. El segundo es que Kaspersky no atribuye el movimiento a un afán de cumplir normas: en su lectura, el objetivo es que las cargas posteriores viajen fuera del alcance de quien vigila la red. Sin la clave privada, además, el tráfico interceptado solo entrega bytes sin estructura.
Un señuelo de empleo falso y una cadena que vive en memoria
La primera evidencia de FlashHole data de julio de 2025, según el informe técnico de Kaspersky, y el patrón repite el de la operación SyncHole, documentada en abril de 2025. Kaspersky cree, con una confianza media-alta, que los objetivos recibieron correos con enlaces a webs alojadas en GitHub Pages. Una de ellas era el currículum de un supuesto ingeniero de redes; la otra, un catálogo de interiorismo pensado para el sector de la construcción. La foto del candidato no tenía metadatos EXIF y su textura resultaba poco natural, lo que llevó a los investigadores a atribuirla a un generador de imágenes.
Al abrir esas páginas, un script cargado desde un dominio externo disparaba toda la cadena en memoria. El eslabón que la hacía funcionar era INISAFE CrossWeb EX, un programa de seguridad financiera obligatorio en Corea del Sur, en su versión 3.4.1.2, publicada en 2023. La cadena se apoya en software que el usuario no puede quitar sin perder acceso a la banca en línea o a los trámites del Gobierno.
Ese proceso legítimo acababa ejecutando fsquirt.exe, un binario de Windows, y sobre él se inyectaba el shellcode que instalaba TechHub, el descargador que abre la operación y que en esta versión usa repositorios privados de GitHub con un token de acceso.
Kaspersky identificó al menos tres empresas afectadas del sector del software, de la construcción y de la fabricación de equipos de comunicación cableada, y sospecha que la cifra real es bastante mayor. Los sectores no coinciden con los de SyncHole, señal de que el grupo ha ampliado el objetivo.
Cuatro bloques de 1.568 bytes y una clave Threefish
LPEClient es la única pieza del arsenal que Kaspersky ya había visto en SyncHole, y también la que más ha cambiado en esta campaña. En la versión nueva perdió la dirección del servidor de control y habla con él a través de ClientHub, un cargador recién identificado que en algunos ejemplares usa Dropbox como canal.
Esa mudanza complica el bloqueo por nombre de dominio, y Kaspersky la lee como un intento de ganar ocultación: sin una dirección fija que señalar, al defensor solo le queda el contenido cifrado.
El primer mensaje lleva el perfil del equipo comprometido comprimido con XPRESS Huffman y cifrado con GOST, el estándar ruso también conocido como Magma, con una clave aleatoria que viaja al principio del paquete. La respuesta a ese envío se descifra con AES-CBC-256, usando como clave el hash SHA-256 de una secuencia de 1.568 bytes aleatorios que el implante había mandado antes al servidor.
Esa respuesta trae cuatro bloques de 1.568 bytes. Cada uno contiene una clave pública ML-KEM-1024, y sobre ellos LPEClient genera cuatro pares de secreto compartido y texto cifrado que vuelven al servidor cifrados con GOST. Los cuatro secretos, unidos, forman la clave de 256 bytes con la que se descifra el mensaje siguiente mediante Threefish, un cifrado de bloque que admite un valor de ajuste además de la clave.
| Paso |
Qué hace LPEClient |
| 1 |
Perfila la víctima y manda el informe cifrado con GOST |
| 2 |
Recibe cuatro bloques con claves públicas ML-KEM-1024 |
| 3 |
Deriva cuatro secretos compartidos y los envía con GOST |
| 4 |
Compone la clave de 256 bytes de Threefish |
| 5 |
Descifra la carga MZ y la ejecuta en memoria |
El mensaje descifrado tiene un formato estricto: primero la longitud de los parámetros, luego los parámetros y al final la carga, que debe superar los 4 KB y empezar por los caracteres MZ para que el implante la trate como un ejecutable de Windows. LPEClient la carga de forma reflectiva y el resultado final es Cubridge, el orquestador que despliega módulos, plugins y herramientas sobre el equipo comprometido.
¿Por qué un atacante adopta ya criptografía poscuántica?
La pregunta razonable es qué gana un grupo criminal con un algoritmo pensado para una amenaza que todavía no ha llegado. No necesita un ordenador cuántico para beneficiarse de ML-KEM, porque el estándar resuelve el reparto de una clave secreta entre dos partes con una primitiva que sigue en pie tras años de escrutinio público y que ya viene implementada en librerías abiertas y rápidas.
Para la banca y para las infraestructuras, el argumento de estas primitivas es la longevidad. Un dato cifrado hoy con RSA o con curvas elípticas puede guardarse y descifrarse cuando llegue la máquina capaz de hacerlo, así que el secreto que hay que proteger vive más años que el algoritmo que lo tapa. En FlashHole el beneficio es otro, y Kaspersky lo dice sin rodeos al afirmar que el uso de criptografía poscuántica muestra la intención de ocultar las cargas posteriores.
El calendario ya se discute en otros sectores. Zcash quiere llevar firmas resistentes a la cuántica en enero de 2027, como contamos al cubrir el anuncio, y Vitalik Buterin advirtió que la IA podría romper la seguridad de las cripto antes que la computación cuántica.
La diferencia es que en este caso el que migró primero fue el atacante. Kaspersky cierra su análisis con la ironía de que el grupo adoptó estas protecciones más rápido que muchos productos de seguridad legítimos, y el reproche va para el software que todavía no ha dado ese paso.
Lo que FlashHole deja ver de Lazarus
Kaspersky sitúa FlashHole dentro de la actividad Cascade Hole y lo atribuye a la misma mano que SyncHole con una confianza media-alta, apoyándose en el vector de entrada, en los objetivos y en el uso compartido de LPEClient. El grupo encadena campañas sin pausa: la evidencia más antigua de FlashHole es de julio de 2025, justo cuando la operación anterior se apagaba tras al menos cuatro meses de actividad.
El mismo ecosistema tiene una pata económica. Los investigadores vieron COPPERHEDGE en paralelo, con un caso que acabó en robo de datos hacia un sitio de filtraciones montado para la ocasión y en un episodio que AhnLab relacionó con el ransomware Gunra.
El desmontaje tiene fechas. En octubre de 2025 el Gobierno surcoreano presentó un plan para retirar la instalación obligatoria a partir de 2026, y en julio de 2026 publicó junto a varios fabricantes un aviso conjunto sobre estas técnicas. Kaspersky espera que las operaciones contra esas herramientas sigan activas mientras existan, y un trabajo presentado en el simposio USENIX Security de 2025 ya había medido la superficie de ataque que generan. El software fue el único sector presente en las dos campañas, un detalle que los analistas leen como interés por el código fuente y por las vulnerabilidades que abre después.
El listón que acaba de subir el malware
FlashHole no descubre un fallo nuevo ni estrena una técnica de explotación. Lo que cambia es el suelo sobre el que se apoya la detección: si el canal de entrega usa algoritmos modernos, quien intercepta tráfico no obtiene nada legible y tiene que ir a por la memoria del equipo infectado, que es justo donde Lazarus deja menos rastro.
La pregunta útil no es cuándo llegará el ordenador cuántico, si no cuánto tarda el resto en copiar la idea. ML-KEM está en FIPS 203 desde 2024, es gratis y ya viaja dentro de una cadena de malware. Cualquier equipo defensivo que siga tratando el cifrado del canal de mando como una molestia secundaria va a llegar tarde a la siguiente campaña.
