Kuzey Koreli Lazarus Kuantum Sonrası Şifrelemeye Geçti

LPEClient aracına kuantum sonrası şifreleme takviyesi

Lazarus, kuantum dirençli matematiği doğrudan uç noktalarda değil, komuta kontrol sunucusuyla kurulan ağ hattında kullandı.

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT), bu yeni kriptografik yapıyı Lazarus'un 2019'dan beri geliştirdiği LPEClient adlı keşif aracının güncel bir sürümünde yakaladı. Operation FlashHole olarak adlandırılan sefer, Temmuz 2025'ten bu yana Güney Kore'deki telekomünikasyon, yazılım ve inşaat sektörlerini hedef alıyor.

Saldırganlar bilindik RSA veya eliptik eğri anahtar değişimleri yerine, dört farklı açık anahtar çekerek ML-KEM-1024 anahtar kurulumu gerçekleştiriyor. Buradan türetilen paylaşımlı gizli anahtarlar 128 baytlık tek bir anahtarda birleştiriliyor ve Threefish blok şifrelemesiyle zararlı yük doğrudan sistem belleğine aktarılıyor.

ML-KEM-1024, ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) Ağustos 2024'te yayımladığı FIPS 203 standardının en yüksek güvenlik katmanını oluşturuyor. Aynı algoritma Amerikan NSA'in ticari milli güvenlik sistemleri için zorunlu kıldığı standartlar arasında. Check Point Research de Ağustos 2026'da benzer ML-KEM rutinlerinin grubun FudModule rootkit'ini dağıtırken kullanıldığını doğrulamıştı.

Lazarus geleceğin şifre çözücülerinden neden korkuyor?

Mevcut donanımlar arasında 2048-bit RSA veya modern Diffie-Hellman anahtarlarını anında kırabilecek güçte bir kuantum bilgisayar henüz bulunmuyor. Bu durum Lazarus'un tercihini ilk bakışta anlamsız kılabilir; fakat ağ trafiğini kimin dinlediği hesaba katıldığında tablo netleşiyor.

Batılı istihbarat kurumları küresel omurgalar üzerinden akan şifreli düşman trafiğini aralıksız kaydediyor. Şimdi topla, sonra çöz (harvest now, decrypt later) taktiğiyle saklanan bu devasa veriler, gelecekte kuantum sistemleri olgunlaştığında geriye dönük incelenmek üzere depolanıyor. Operasyonlarına kuantum sonrası şifreleme ekleyen Lazarus, arkasında bıraktığı zararlı yazılım trafiğinin on yıllar sonra bile deşifre edilmesini peşinen engelliyor.

Bu uzun vadeli planlama, organize hacker gruplarının ne kadar profesyonelleştiğini kanıtlıyor. Nitekim benzer operasyonel disiplin, Kuzey Kore'nin Binance üzerinden dakikalar içinde milyarlarca dolar çalmasında da görülmüştü.

İleri düzey şifrelemenin arkasındaki klasik kimlik avı

Ağ katmanında dünyanın en gelişmiş şifreleme protokollerini kullanan grup, sisteme ilk sızma aşamasında yine bilindik insan zaaflarından yararlandı. Kurbanlar, GitHub Pages üzerinde barındırılan ve yapay zekayla hazırlanmış sahte kıdemli ağ mühendisi CV'leri ya da iç mimarlık portfolyolarıyla kandırıldı.

Hedef sistemle temas kurulduktan sonra Güney Kore'deki bankacılık ve kamu işlemlerinde zorunlu tutulan INISAFE CrossWeb EX eklentisindeki güvenlik açıkları suistimal edildi. Lazarus ekibi aynı yazılım ailesini 2021, 2022 ve 2023 yıllarındaki saldırılarında da defalarca hedef almıştı.

Kuantum sonrası zırh yalnızca ağdaki veri transferini koruyor. Zararlı kod işletim sistemine inip bellekte çalışmaya başladığında uç nokta güvenlik yazılımları, davranış izleyiciler ve bellek tarayıcıları bu hareketleri standart biçimde yakalamaya devam edebiliyor.

Türkiye'deki kurumlar için ne anlama geliyor?

Türkiye'deki siber güvenlik ekipleri ve sistem yöneticileri için Lazarus'un ML-KEM-1024 kullanımına geçmesi, mevcut uç nokta savunma stratejilerini çöpe atmayı gerektirmiyor. Kuantum dirençli şifreleme yalnızca sunucu ile zararlı yükleyici arasındaki paketleri koruduğundan; EDR yazılımları, davranışsal anomali tespiti ve uygulama beyaz listesi kuralları yerel ağda tam performansla çalışmayı sürdürüyor.

Asıl tehlike, saldırı tespitini yalnızca çevre güvenlik duvarlarına ve giden ağ trafiğini denetleyen eski nesil kutulara (middlebox) emanet eden yerli kurumlar için geçerli. Saldırganların kuantum sonrası şifreleme paketlerini standartlaştırması, trafiği geleneksel yöntemlerle çözüp denetlemeyi kısa sürede imkansız hale getirecek.