一句话看懂：卡巴斯基披露，朝鲜Lazarus组织在针对韩国企业的Operation FlashHole行动中，用AI生成钓鱼网站，并用后量子密钥交换ML-KEM-1024保护恶意代码下发通道，勒索与窃密手法同步升级。
事件核心：发生了什么
卡巴斯基全球研究与分析团队（GReAT）称，Lazarus自至少2025年7月起针对韩国软件、建筑和有线通信设备制造领域的至少三家机构发起攻击。入侵路径仍是鱼叉式钓鱼：攻击者架设GitHub Pages站点，先后放置一份“资深网络设备开发者”简历和一份室内设计作品集，分别瞄准通信设备公司和建筑企业。卡巴斯基认为简历照片系AI生成，网站也可能由AI搭建。
感染链随后借助韩国金融安全软件INISAFE CrossWeb EX进入内存并以高权限运行。更受关注的是LPEClient的更新版：它不再内置服务器地址，改经新发现的加载器ClientHub中转，部分变体通过Dropbox与操控端通信；它还会探测已装安全产品、Windows补丁级别及Shadow Stack等防护是否开启，并用俄罗斯GOST标准加密上报。下发载荷前，服务器发送四组ML-KEM-1024公钥，派生出四个共享密钥并合成128字节密钥，用于Threefish算法解密后续载荷。
为什么重要
此次行动有三点值得注意。第一，成熟攻击组织开始把生成式AI当作日常伪装工具，用低成本内容生产掩盖鱼叉邮件。第二，后量子加密被用于保护C2通道，防线对准的是“先收集、后解密”的长期监听，而非终端检测，这不会让攻击更难被发现，却可能提高取证和溯源难度。第三，韩国银行和政府网站常用的安全插件再度被滥用，说明白名单软件仍是被攻击者偏好的通道。
对用户/开发者/创作者的影响
普通用户应把“简历、作品集、招聘”类链接视为高风险入口，避免在非官方页面加载未知脚本。企业安全团队要重点监控CrossWeb EX等金融插件的异常内存行为，并审查依赖第三方站点的供应链风险。开发者若在个人网站或招聘页面使用AI生成内容，应保留素材来源和元数据说明，避免成为冒充素材。安全厂商则需评估：当攻击方把抗量子密钥交换视为常规选项，终端检测和流量解密策略如何同步调整。
值得关注的后续
一是韩国KrCERT及金融软件厂商是否发布针对CrossWeb EX的新处置方案；二是Lazarus是否会扩大ClientHub+Dropbox中转的变体，并向其他地区复制AI钓鱼模板；三是ML-KEM-1024在恶意软件中出现，是否会推动安全产品加快对后量子流量的监测能力建设。目前公开信息显示，卡巴斯基对钓鱼投递环节的置信度为中高，具体感染触发点仍未完全确定。
来源：TechRadar
