Pengantar

Kelompok peretas Lazarus Group kembali menjadi sorotan setelah dilaporkan menggunakan teknologi kriptografi pascakuantum untuk membantu mengirimkan malware ke komputer korban. Teknik ini ditemukan dalam operasi serangan siber bernama FlashHole yang menargetkan sejumlah organisasi di Korea Selatan.

Menurut laporan BleepingComputer pada 21 Oktober 2026, para peneliti keamanan dari Kaspersky menemukan bahwa kelompok tersebut menggunakan mekanisme kriptografi ML-KEM untuk mengamankan komunikasi dengan server penyerang. Teknologi ini digunakan bersama beberapa malware dan teknik penyamaran agar aktivitas serangan lebih sulit dideteksi oleh sistem keamanan. Sumber: BleepingComputer.

Mengenal Lazarus Group dan Operasi FlashHole

Lazarus Group merupakan kelompok ancaman siber yang dikaitkan dengan Korea Utara. Kelompok ini dikenal menjalankan berbagai operasi siber, termasuk spionase, pencurian data, dan serangan terhadap organisasi maupun perusahaan.

Dalam operasi terbaru yang diberi nama FlashHole, Lazarus menggunakan rangkaian serangan yang menggabungkan teknik lama dengan teknologi yang lebih modern.

Serangan tersebut dilaporkan mulai berlangsung pada Juli 2025. Peneliti Kaspersky mengidentifikasi setidaknya tiga perusahaan di Korea Selatan yang terdampak, masing-masing bergerak di sektor perangkat lunak, konstruksi, serta manufaktur peralatan komunikasi kabel.

Namun, jumlah korban sebenarnya diduga lebih besar karena tidak semua organisasi yang terdampak berhasil diidentifikasi.

Salah satu hal yang membuat operasi ini menarik adalah penggunaan kriptografi pascakuantum untuk melindungi pengiriman malware. Teknologi yang pada dasarnya dikembangkan untuk meningkatkan keamanan komunikasi justru dimanfaatkan dalam aktivitas berbahaya.

Apa Itu Kriptografi Pascakuantum?

Kriptografi pascakuantum atau post-quantum cryptography (PQC) adalah teknologi kriptografi yang dirancang agar tetap aman menghadapi potensi kemampuan komputer kuantum di masa depan.

Komputer kuantum berpotensi memecahkan sejumlah metode kriptografi yang saat ini digunakan. Karena itu, para peneliti mengembangkan algoritma baru untuk melindungi komunikasi dan data dari ancaman tersebut.

Salah satu standar yang dikembangkan oleh National Institute of Standards and Technology (NIST) Amerika Serikat adalah ML-KEM, singkatan dari Module-Lattice-Based Key-Encapsulation Mechanism. Standar ini sebelumnya dikenal sebagai CRYSTALS-Kyber.

Secara sederhana, ML-KEM membantu dua pihak membentuk rahasia bersama yang dapat digunakan sebagai dasar untuk mengenkripsi dan mendekripsi data.

Teknologi tersebut sebenarnya sah dan berguna untuk melindungi informasi sensitif. Banyak organisasi mengembangkan atau menerapkannya untuk mempersiapkan sistem keamanan menghadapi ancaman komputasi kuantum.

Masalah muncul ketika teknologi tersebut digunakan oleh pelaku kejahatan siber untuk melindungi komunikasi malware dari pengawasan.

Dalam kasus FlashHole, Lazarus memanfaatkan ML-KEM untuk membantu mengamankan pertukaran data dengan server command-and-control atau C2, yaitu server yang digunakan penyerang untuk mengendalikan malware dan mengirimkan instruksi.

Bagaimana Lazarus Menjalankan Serangannya?

Operasi FlashHole tidak hanya mengandalkan satu malware. Serangan ini menggunakan beberapa tahap yang saling berhubungan, mulai dari phishing hingga pengiriman payload berbahaya ke komputer korban.

1. Memanfaatkan phishing untuk menjebak korban

Serangan dimulai dengan halaman phishing yang mengarahkan target menuju halaman GitHub yang telah disiapkan secara khusus.

Phishing merupakan teknik penipuan yang bertujuan membuat korban mengunjungi situs berbahaya, membuka file tertentu, atau melakukan tindakan yang menguntungkan penyerang.

Dalam kasus ini, halaman yang terlihat seperti bagian dari layanan atau sumber daya yang tepercaya digunakan sebagai pintu masuk ke rangkaian infeksi.

Hal ini menunjukkan bahwa platform populer tidak selalu bebas dari penyalahgunaan. GitHub sendiri merupakan layanan pengembangan perangkat lunak yang sah, tetapi konten yang ditempatkan di dalamnya tetap perlu dinilai berdasarkan sumber dan perilakunya.

2. Menjalankan kode melalui proses di Windows

Halaman yang telah disiapkan tersebut memuat kode JavaScript dari domain eksternal. Rangkaian berikutnya melibatkan INISAFE CrossWeb EX, sebuah perangkat lunak keamanan yang digunakan di Korea Selatan.

Menurut laporan penelitian, proses perangkat lunak tersebut kemudian menjalankan program Windows bernama fsquirt.exe. Program yang sah ini disalahgunakan dalam rantai eksekusi untuk menjalankan shellcode, yaitu potongan kode yang dapat digunakan untuk memulai aktivitas berbahaya.

Teknik seperti ini menyulitkan investigasi apabila tim keamanan hanya memeriksa nama program. Penyerang dapat memanfaatkan aplikasi yang sah untuk menjalankan aktivitas yang tidak semestinya.

Karena itu, konteks eksekusi, hubungan antarproses, dan aktivitas jaringan juga perlu diperiksa.

3. Mengunduh komponen malware tambahan

Setelah tahap awal berhasil, malware bernama TechHub digunakan untuk mengambil komponen tambahan dari repositori GitHub privat.

TechHub berperan sebagai downloader, yaitu program yang bertugas mengunduh file atau komponen lain yang dibutuhkan oleh penyerang.

Dengan memisahkan proses infeksi menjadi beberapa bagian, pelaku dapat mengirimkan komponen berbeda sesuai kebutuhan serangan.

Pendekatan ini juga berarti bahwa satu file yang berhasil dideteksi belum tentu menggambarkan seluruh kemampuan serangan.

4. Menggunakan LPEClient untuk komunikasi dengan server penyerang

Komponen penting lainnya adalah LPEClient, malware yang sebelumnya juga dikaitkan dengan Lazarus Group.

LPEClient membantu mengumpulkan informasi mengenai perangkat korban, menerima payload terenkripsi, dan berkomunikasi dengan infrastruktur penyerang.

Dalam operasi FlashHole, LPEClient menggunakan mekanisme ML-KEM untuk mendukung proses pertukaran material kunci yang diperlukan dalam komunikasi terenkripsi.

Melalui proses tersebut, penyerang dapat mengirimkan payload tambahan yang tidak langsung tersedia dalam bentuk yang mudah dibaca oleh sistem pemantauan.

5. Memuat malware lanjutan ke memori

Salah satu malware yang ditemukan dalam operasi ini adalah Cubridge, sebuah backdoor modular.

Backdoor merupakan mekanisme yang memungkinkan penyerang mempertahankan akses atau menjalankan perintah dari jarak jauh pada sistem yang telah terinfeksi.

Cubridge memiliki kemampuan untuk mengelola file, menjalankan perintah, mengumpulkan informasi sistem, mengambil tangkapan layar, dan memuat payload tambahan.

Peneliti juga menemukan perangkat lain yang menargetkan browser berbasis Chromium untuk mengambil informasi sensitif, termasuk kredensial akun, cookie, dan riwayat penjelajahan.

Rangkaian ini memperlihatkan bahwa tujuan serangan bukan sekadar memasukkan satu file berbahaya, tetapi membangun kemampuan untuk mengakses dan mengumpulkan informasi dari perangkat korban.

Bagaimana ML-KEM Digunakan untuk Melindungi Pengiriman Malware?

Bagian yang paling menonjol dari operasi FlashHole adalah cara Lazarus menggunakan ML-KEM-1024.

Berdasarkan analisis Kaspersky, LPEClient menerima data yang berisi empat blok kunci publik ML-KEM-1024 dari server C2. Malware kemudian menghasilkan pasangan material kunci bersama dan ciphertext, yaitu data hasil proses kriptografi yang tidak dapat dibaca secara langsung seperti teks biasa.

Informasi tersebut selanjutnya diproses menggunakan algoritma GOST dan dikirimkan melalui ClientHub.

Material rahasia yang dihasilkan digunakan sebagai dasar kunci untuk algoritma Threefish. Proses tersebut membantu mendekripsi respons server yang berisi parameter dan payload yang dapat dieksekusi.

Pada tahap berikutnya, payload Cubridge dimuat ke memori komputer korban.

Dengan kata lain, ML-KEM bukanlah program yang secara langsung menjalankan malware. Mekanisme tersebut berperan dalam proses kriptografi yang membantu mengamankan pertukaran data, sedangkan komponen malware lainnya bertugas mengunduh, memproses, dan menjalankan payload.

Menurut peneliti Kaspersky, penggunaan kriptografi pascakuantum tersebut merupakan bagian dari upaya Lazarus untuk menyembunyikan payload lanjutan dan mengurangi kemungkinan terdeteksi.

Mengapa Eksekusi Malware di Memori Sulit Dideteksi?

Selain menggunakan kriptografi modern, Lazarus juga memanfaatkan teknik eksekusi di memori.

Pada metode ini, sebagian kode berbahaya dijalankan langsung di memori komputer tanpa harus selalu disimpan sebagai file yang mudah dikenali pada disk.

Teknik tersebut dapat mengurangi jejak file yang tersedia untuk dianalisis oleh perangkat keamanan. Akibatnya, pendekatan deteksi yang hanya mengandalkan tanda tangan file atau file signature berpotensi melewatkan sebagian aktivitas serangan.

Meski demikian, eksekusi di memori bukan berarti malware sama sekali tidak meninggalkan jejak. Aktivitas proses, perubahan konfigurasi sistem, koneksi jaringan, dan mekanisme persistensi masih dapat memberikan petunjuk bagi tim keamanan.

Laporan Kaspersky menyebutkan bahwa sebagian besar kode dalam operasi Lazarus ini berjalan di memori, meskipun mekanisme untuk mempertahankan akses masih dapat meninggalkan file pada disk korban.

Oleh karena itu, organisasi perlu menggabungkan berbagai metode deteksi, termasuk pemantauan perilaku proses, analisis jaringan, dan investigasi aktivitas endpoint.

Dampak Serangan bagi Organisasi

Serangan seperti FlashHole berpotensi menimbulkan berbagai risiko bagi organisasi yang menjadi target.

Pertama, pencurian informasi sensitif. Malware yang menargetkan browser dapat mengambil kredensial, cookie, dan riwayat penjelajahan. Informasi tersebut dapat dimanfaatkan untuk mengakses akun korban atau mendukung serangan lanjutan.

Kedua, akses jarak jauh tanpa izin. Backdoor seperti Cubridge dapat memberikan kemampuan kepada penyerang untuk menjalankan perintah dan mengelola file pada perangkat yang telah terinfeksi.

Ketiga, penyebaran malware tambahan. Downloader dan loader memungkinkan penyerang mengirimkan komponen baru sesuai tujuan operasi, sehingga ancaman dapat berkembang setelah infeksi awal.

Keempat, kesulitan mendeteksi aktivitas berbahaya. Penggunaan aplikasi sah, komunikasi terenkripsi, dan eksekusi di memori dapat membuat aktivitas penyerang lebih sulit dibedakan dari operasi normal.

Dampaknya tidak hanya terbatas pada satu komputer. Jika perangkat yang terinfeksi memiliki akses ke sistem internal atau akun penting, insiden dapat berkembang menjadi masalah keamanan yang lebih luas.

Langkah Mitigasi yang Perlu Dilakukan

Organisasi tidak harus menunggu sampai serangan serupa terjadi untuk memperkuat pertahanan. Ada beberapa langkah yang dapat diterapkan untuk mengurangi risiko.

1. Tingkatkan kewaspadaan terhadap phishing

Karyawan perlu dilatih untuk memeriksa alamat situs, sumber tautan, dan permintaan yang tidak biasa. Hindari membuka tautan atau menjalankan file dari sumber yang tidak dapat diverifikasi.

2. Perbarui perangkat lunak secara berkala

Pastikan sistem operasi, browser, dan perangkat lunak yang terpasang selalu mendapatkan pembaruan keamanan. Periksa juga perangkat lunak pihak ketiga yang memiliki akses penting pada sistem.

3. Terapkan application control

Batasi program yang dapat dijalankan pada perangkat organisasi. Program yang sah sekalipun perlu diawasi apabila dijalankan dari lokasi, proses induk, atau konteks yang tidak biasa.

4. Gunakan EDR dan pemantauan endpoint

Solusi Endpoint Detection and Response (EDR) dapat membantu mendeteksi aktivitas mencurigakan melalui perilaku proses, perubahan sistem, dan indikator lain.

Tim keamanan sebaiknya tidak hanya mencari file malware yang sudah diketahui, tetapi juga memeriksa pola eksekusi yang tidak normal.

5. Pantau komunikasi jaringan

Awasi koneksi keluar menuju domain, repositori kode, layanan penyimpanan cloud, atau server yang tidak biasa bagi lingkungan organisasi.

Akses ke layanan tepercaya tidak selalu berarti aman. Yang perlu diperiksa adalah apakah koneksi tersebut sesuai dengan kebutuhan aplikasi dan perilaku pengguna.

6. Terapkan prinsip least privilege

Berikan hak akses sesuai kebutuhan pekerjaan. Akun pengguna sehari-hari sebaiknya tidak memiliki hak administrator apabila tidak diperlukan.

Pembatasan hak akses dapat mengurangi dampak apabila sebuah akun atau perangkat berhasil dikompromikan.

7. Siapkan prosedur respons insiden

Jika perangkat diduga terinfeksi, isolasi perangkat dari jaringan sesuai prosedur organisasi, amankan bukti digital, dan lakukan investigasi.

Periksa pula kemungkinan penyalahgunaan kredensial, aktivitas lanjutan, dan perangkat lain yang berkomunikasi dengan infrastruktur mencurigakan.

Kesimpulan

Operasi FlashHole menunjukkan bahwa kelompok peretas seperti Lazarus terus menggabungkan teknik serangan yang sudah dikenal dengan teknologi kriptografi modern.

Penggunaan ML-KEM dalam kasus ini bukan berarti kriptografi pascakuantum merupakan teknologi berbahaya. ML-KEM dikembangkan untuk meningkatkan keamanan pertukaran kunci. Risiko muncul ketika teknologi tersebut digunakan untuk melindungi komunikasi dan pengiriman payload dalam operasi malware.

Serangan ini juga memperlihatkan bahwa phishing, penyalahgunaan aplikasi sah, komunikasi terenkripsi, dan eksekusi di memori dapat saling melengkapi untuk menyulitkan deteksi.

Bagi organisasi, pelajaran terpentingnya adalah membangun pertahanan berlapis. Pembaruan perangkat lunak, edukasi pengguna, pembatasan hak akses, pemantauan endpoint, analisis jaringan, dan kesiapan respons insiden harus berjalan bersama.

Pada akhirnya, teknologi enkripsi yang kuat tidak menjamin bahwa aktivitas di baliknya aman. Tim keamanan tetap perlu memeriksa siapa yang berkomunikasi, aplikasi apa yang digunakan, dan apakah perilaku tersebut sesuai dengan tujuan yang sah.

---

Referensi utama: BleepingComputer — Lazarus hackers use post-quantum cryptography for malware delivery