عملية الحلم الوظيفي: كيف استغلت لازاروس ثغرة AFD.sys وتشفير Kyber لاختراق شركات الدفاع
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران. استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلا...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران.
استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلال، مما يجعل اعتراض الاتصالات غير مجدٍ حتى للخصوم الذين يمتلكون حواسيب كمومية.
تأكدت إصابات في فرنسا وألمانيا والهند والبرازيل، وتقول مايكروسوفت إنها الثغرة الوحيدة التي تم استغلالها في تحديث Patch Tuesday لشهر أغسطس 2026.
How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defenseAI-generated illustration of the Lazarus Group attack chain involving CVE-2026-68820, Kyber encryption, and FudModule rootkit.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defense. Article summary: I'll research this complex multi-part question thoroughly. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
في أوائل عام 2026، صعدت مجموعة لازاروس الكورية الشمالية حملتها المستمرة منذ زمن طويل والتي تُعرف باسم عملية الحلم الوظيفي (Operation Dream Job) عبر سلسلة هجوم متطورة جمعت بين ثغرة يوم صفري في نواة ويندوز وتشفير مقاوم للحواسيب الكمومية. كشف باحثو شركة Check Point عن الحملة وأبلغوا مايكروسوفت بالثغرة—CVE-2026-68820—التي أصدرت مايكروسوفت تصحيحًا لها في 11 أغسطس 2026 ضمن تحديثات Patch Tuesday الشهرية . استهدفت الحملة مؤسسات دفاع وفضاء وطيران في أوروبا الغربية والهند والبرازيل، مستخدمةً عروض عمل وهمية من مسؤولين مزيفين، وقارئ PDF مخترق، وبابًا خلفيًا جديدًا يُدعى Troy.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "عملية الحلم الوظيفي: كيف استغلت لازاروس ثغرة AFD.sys وتشفير Kyber لاختراق شركات الدفاع"؟
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران. استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلال، مما يجعل اعتراض الاتصالات غير مجدٍ حتى للخصوم الذين يمتلكون حواسيب كمومية.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تأكدت إصابات في فرنسا وألمانيا والهند والبرازيل، وتقول مايكروسوفت إنها الثغرة الوحيدة التي تم استغلالها في تحديث Patch Tuesday لشهر أغسطس 2026.
عملية الحلم الوظيفي: كيف استغلت لازاروس ثغرة AFD.sys وتشفير Kyber لاختراق شركات الدفاع
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران. استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلا...
نشر بواسطةتم التحرير باستخدام DeepSeek-V4-Flashتم إنشاء الصور باستخدام GPT Image 1.5
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران.
استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلال، مما يجعل اعتراض الاتصالات غير مجدٍ حتى للخصوم الذين يمتلكون حواسيب كمومية.
تأكدت إصابات في فرنسا وألمانيا والهند والبرازيل، وتقول مايكروسوفت إنها الثغرة الوحيدة التي تم استغلالها في تحديث Patch Tuesday لشهر أغسطس 2026.
How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defenseAI-generated illustration of the Lazarus Group attack chain involving CVE-2026-68820, Kyber encryption, and FudModule rootkit.
موجّه الذكاء الاصطناعي
Create a landscape editorial hero image for this Studio Global article: How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defense. Article summary: I'll research this complex multi-part question thoroughly. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
في أوائل عام 2026، صعدت مجموعة لازاروس الكورية الشمالية حملتها المستمرة منذ زمن طويل والتي تُعرف باسم عملية الحلم الوظيفي (Operation Dream Job) عبر سلسلة هجوم متطورة جمعت بين ثغرة يوم صفري في نواة ويندوز وتشفير مقاوم للحواسيب الكمومية. كشف باحثو شركة Check Point عن الحملة وأبلغوا مايكروسوفت بالثغرة—CVE-2026-68820—التي أصدرت مايكروسوفت تصحيحًا لها في 11 أغسطس 2026 ضمن تحديثات Patch Tuesday الشهرية . استهدفت الحملة مؤسسات دفاع وفضاء وطيران في أوروبا الغربية والهند والبرازيل، مستخدمةً عروض عمل وهمية من مسؤولين مزيفين، وقارئ PDF مخترق، وبابًا خلفيًا جديدًا يُدعى Troy.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
ما هي الإجابة المختصرة على "عملية الحلم الوظيفي: كيف استغلت لازاروس ثغرة AFD.sys وتشفير Kyber لاختراق شركات الدفاع"؟
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
استغلت مجموعة لازاروس الكورية الشمالية ثغرة CVE 2026 68820، وهي عيب سباق في برنامج تشغيل AFD.sys في ويندوز، للحصول على صلاحيات SYSTEM ونشر جذر فودموديول الخبيث ضد شركات الدفاع والفضاء والطيران. استخدم المهاجمون لأول مرة تشفيرًا مقاومًا للحواسيب الكمومية (Kyber/ML KEM) لحماية قناة القيادة والتحكم أثناء تسليم الاستغلال، مما يجعل اعتراض الاتصالات غير مجدٍ حتى للخصوم الذين يمتلكون حواسيب كمومية.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
تأكدت إصابات في فرنسا وألمانيا والهند والبرازيل، وتقول مايكروسوفت إنها الثغرة الوحيدة التي تم استغلالها في تحديث Patch Tuesday لشهر أغسطس 2026.
تدير لازاروس عملية الحلم الوظيفي منذ عام 2020، لكن هذه الموجة أدخلت ثلاثة ترقيات تقنية كبيرة :
ثغرة يوم صفري غير معروفة سابقًا في ويندوز (CVE-2026-68820) في برنامج تشغيل AFD.sys
تبادل مفاتيح مقاوم للحواسيب الكمومية باستخدام Kyber/ML-KEM لتشفير حركة مرور القيادة والتحكم
باب خلفي معياري جديد يُدعى Troy، يتواصل عبر خوادم شرعية مختطفة
سلسلة الهجوم خطوة بخطوة
1. الهندسة الاجتماعية عبر عروض عمل وهمية
تم استهداف الضحايا على LinkedIn ومنصات مهنية أخرى عبر أشخاص ينتحلون صفة مسؤولي توظيف من شركتي Lockheed Martin وEnveil . كان الضحايا يتلقون وصفًا وظيفيًا ورابطًا لتنزيل "مواد مقابلة". استُخدمت سلسلتا إصابة متوازيتان :
السلسلة A (تحميل DLL جانبي): ينزل الضحية أرشيف ZIP يحتوي على ملف قابل للتنفيذ لقارئ PDF أصلي وموقع رقميًا، ومكتبة DLL خبيثة (libmupdf.dll)، وحمولة مشفرة بامتداد .pdf.enc. عند تشغيل قارئ PDF، يقوم بتحميل المكتبة الخبيثة جانبيًا، والتي تعرض ملف PDF وهميًا (ديكوي) بينما تقوم بفك تشفير الحمولة وتنفيذها بصمت .
السلسلة B (قارئ PDF مخترق): ينزل الضحية تطبيقًا مزيفًا يُدعى SecurityPDF، ينتحل صفة قارئ PDF أصلي مبني على MuPDF. يبدو هذا القارئ المخترق شرعيًا لكنه يُحمّل كودًا خبيثًا عند فتح ملف PDF مصمم خصيصًا .
2. تشفير مقاوم للحواسيب الكمومية يحمي قناة C2
بمجرد تنفيذ المُحمل الأولي، ينشر وحدة بصمة رقمية تتصل بخادم القيادة وتطلب أربعة مفاتيح عامة. تستخدم الوحدة Kyber / ML-KEM—آلية تغليف المفاتيح المعيارية من NIST والمقاومة للحواسيب الكمومية—لتوليد مواد مفتاح جديدة وتغليف سر مشترك وإرسال النتيجة إلى الخادم قبل طلب الحمولة الاستغلالية الفعلية .
هذا هو أول استخدام موثق لتشفير مقاوم للحواسيب الكمومية من قبل لازاروس لحماية تسليم الاستغلال. تضمن هذه التقنية أنه حتى إذا تم اعتراض حركة مرور الشبكة، لا يمكن فك تشفير قناة القيادة والتحكم بواسطة خصوم يمتلكون قدرات تقليدية أو كمومية .
3. الثغرة من نوع يوم صفري: CVE-2026-68820 في AFD.sys
الحمولة التي تم تسليمها استغلت CVE-2026-68820، وهي عيب سباق (استخدام بعد التحرير) في afd.sys، برنامج تشغيل الوظائف المساعدة لـ WinSock في ويندوز والذي يدير عمليات Winsock في وضع النواة . تشمل التفاصيل التقنية الرئيسية:
درجة CVSS: 7.0 (عالية)
شرط مسبق: يحتاج المهاجم بالفعل إلى تنفيذ كود محلي من المُحمل الأولي
آلية الاستغلال: يجب الفوز بسباق التوقيت (race condition) لتحرير وإعادة تخصيص ذاكرة النواة بنجاح، مما يسمح للمهاجم بإفساد كائنات النواة وتحقيق تصعيد الصلاحيات المحلية إلى صلاحية SYSTEM
ناقل متكرر: هذه هي نفس برنامج التشغيل (AFD.sys) الذي أساءت لازاروس استخدامه في أربع حملات سابقة على الأقل منذ عام 2022، مما يجعله سطح هجوم متكرر
4. نشر جذر فودموديول (FudModule) الخبيث في النواة
بعد الحصول على صلاحيات SYSTEM، نشر الاستغلال نسخة مطورة من FudModule، جذر لازاروس الخبيث في وضع النواة . تدعم هذه النسخة—التي تُسمى أحيانًا FudModule v3.1—إصدارات ويندوز 11 26100 و26200 . عمل FudModule بصلاحيات نواة كاملة لـ:
تعطيل أدوات كشف الاستجابة للنقاط الطرفية (EDR) على مستوى النواة
إخفاء أدوات الأمان عن طريق العبث باستدعاءات النواة ومراقبة العمليات
تثبيت الاستمرارية وتحميل أبواب خلفية معيارية إضافية، بما في ذلك MISTPEN والباب الخلفي الجديد Troy
5. الباب الخلفي Troy والبنية التحتية المختطفة
استخدمت المرحلة النهائية الباب الخلفي Troy، وهي أداة وصول عن بعد معيارية جديدة موثقة. تم بناء بنية القيادة بالكامل تقريبًا من خوادم شرعية مختطفة—لم يبن المهاجمون بنيتهم التحتية الخاصة بل اخترقوا خوادم مؤسسات أخرى .
الدول والقطاعات المستهدفة
الفئة
التفاصيل
القطاعات المستهدفة
الدفاع، الفضاء، الطيران
الدول المؤكدة
فرنسا، ألمانيا (أوروبا الغربية)، الهند، البرازيل
الجدول الزمني
الهجمات نشطة منذ أوائل يوليو 2026 على الأقل، مع رصد الاستغلال في وقت مبكر من يونيو
الاستجابة والتخفيف
تصحيح مايكروسوفت
أصدرت مايكروسوفت تصحيحًا في 11 أغسطس 2026 (Patch Tuesday)، شمل 398 ثغرة بما فيها CVE-2026-68820
جاء التصحيح بعد إفصاح مسؤول من باحثي Check Point، الذين حددوا استغلال الثغرة وأبلغوا مايكروسوفت بها
صنفت مايكروسوفت CVE-2026-68820 كـالثغرة الوحيدة التي تم استغلالها بنشاط في تحديث ذلك الشهر
توجيه CISA الطارئ
أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) توجيهًا طارئًا إلزاميًا يأمر جميع وكالات السلطة التنفيذية المدنية الفيدرالية الأمريكية (FCEB) بمعالجة CVE-2026-68820
مُنحت الوكالات مهلة حتى 25 أغسطس 2026 لتطبيق التصحيح
أضافت CISA الثغرة إلى كتالوج الثغرات المستغلة المعروفة (KEV)، مما يتطلب اتخاذ إجراء من جميع المؤسسات الفيدرالية ويوصي به لجميع مؤسسات القطاع الخاص
إجراءات موصى بها للمؤسسات
تطبيق تحديثات Patch Tuesday لشهر أغسطس 2026 من مايكروسوفت فورًا، مع إعطاء الأولوية لـ CVE-2026-68820
مراقبة نشاط AFD.sys غير المعتاد، وتحميل برامج تشغيل النواة غير المتوقعة، والتلاعب بأدوات EDR
تنفيذ كشف على مستوى الشبكة لحركة مرور تبادل مفاتيح Kyber/ML-KEM على قنوات غير متوقعة
لماذا هذا مهم
تمثل هذه الحملة تصعيدًا في التعقيد من جهة تهديد ترعاها دولة وهي بالفعل واحدة من أكثر الجهات فاعلية. استخدام تشفير مقاوم للحواسيب الكمومية لحماية تسليم الاستغلال يشير إلى أن لازاروس تراقب القدرات الدفاعية وتستثمر في جعل عملياتها مقاومة للمستقبل. الاستهداف المتكرر لنفس برنامج تشغيل AFD.sys—الذي تم استغلاله الآن أربع مرات على الأقل منذ عام 2022—يسلط الضوء على سطح ضعف مستمر في نواة ويندوز تواصل مايكروسوفت تصحيحه بشكل تفاعلي .
تدير لازاروس عملية الحلم الوظيفي منذ عام 2020، لكن هذه الموجة أدخلت ثلاثة ترقيات تقنية كبيرة :
ثغرة يوم صفري غير معروفة سابقًا في ويندوز (CVE-2026-68820) في برنامج تشغيل AFD.sys
تبادل مفاتيح مقاوم للحواسيب الكمومية باستخدام Kyber/ML-KEM لتشفير حركة مرور القيادة والتحكم
باب خلفي معياري جديد يُدعى Troy، يتواصل عبر خوادم شرعية مختطفة
سلسلة الهجوم خطوة بخطوة
1. الهندسة الاجتماعية عبر عروض عمل وهمية
تم استهداف الضحايا على LinkedIn ومنصات مهنية أخرى عبر أشخاص ينتحلون صفة مسؤولي توظيف من شركتي Lockheed Martin وEnveil . كان الضحايا يتلقون وصفًا وظيفيًا ورابطًا لتنزيل "مواد مقابلة". استُخدمت سلسلتا إصابة متوازيتان :
السلسلة A (تحميل DLL جانبي): ينزل الضحية أرشيف ZIP يحتوي على ملف قابل للتنفيذ لقارئ PDF أصلي وموقع رقميًا، ومكتبة DLL خبيثة (libmupdf.dll)، وحمولة مشفرة بامتداد .pdf.enc. عند تشغيل قارئ PDF، يقوم بتحميل المكتبة الخبيثة جانبيًا، والتي تعرض ملف PDF وهميًا (ديكوي) بينما تقوم بفك تشفير الحمولة وتنفيذها بصمت .
السلسلة B (قارئ PDF مخترق): ينزل الضحية تطبيقًا مزيفًا يُدعى SecurityPDF، ينتحل صفة قارئ PDF أصلي مبني على MuPDF. يبدو هذا القارئ المخترق شرعيًا لكنه يُحمّل كودًا خبيثًا عند فتح ملف PDF مصمم خصيصًا .
2. تشفير مقاوم للحواسيب الكمومية يحمي قناة C2
بمجرد تنفيذ المُحمل الأولي، ينشر وحدة بصمة رقمية تتصل بخادم القيادة وتطلب أربعة مفاتيح عامة. تستخدم الوحدة Kyber / ML-KEM—آلية تغليف المفاتيح المعيارية من NIST والمقاومة للحواسيب الكمومية—لتوليد مواد مفتاح جديدة وتغليف سر مشترك وإرسال النتيجة إلى الخادم قبل طلب الحمولة الاستغلالية الفعلية .
هذا هو أول استخدام موثق لتشفير مقاوم للحواسيب الكمومية من قبل لازاروس لحماية تسليم الاستغلال. تضمن هذه التقنية أنه حتى إذا تم اعتراض حركة مرور الشبكة، لا يمكن فك تشفير قناة القيادة والتحكم بواسطة خصوم يمتلكون قدرات تقليدية أو كمومية .
3. الثغرة من نوع يوم صفري: CVE-2026-68820 في AFD.sys
الحمولة التي تم تسليمها استغلت CVE-2026-68820، وهي عيب سباق (استخدام بعد التحرير) في afd.sys، برنامج تشغيل الوظائف المساعدة لـ WinSock في ويندوز والذي يدير عمليات Winsock في وضع النواة . تشمل التفاصيل التقنية الرئيسية:
درجة CVSS: 7.0 (عالية)
شرط مسبق: يحتاج المهاجم بالفعل إلى تنفيذ كود محلي من المُحمل الأولي
آلية الاستغلال: يجب الفوز بسباق التوقيت (race condition) لتحرير وإعادة تخصيص ذاكرة النواة بنجاح، مما يسمح للمهاجم بإفساد كائنات النواة وتحقيق تصعيد الصلاحيات المحلية إلى صلاحية SYSTEM
ناقل متكرر: هذه هي نفس برنامج التشغيل (AFD.sys) الذي أساءت لازاروس استخدامه في أربع حملات سابقة على الأقل منذ عام 2022، مما يجعله سطح هجوم متكرر
4. نشر جذر فودموديول (FudModule) الخبيث في النواة
بعد الحصول على صلاحيات SYSTEM، نشر الاستغلال نسخة مطورة من FudModule، جذر لازاروس الخبيث في وضع النواة . تدعم هذه النسخة—التي تُسمى أحيانًا FudModule v3.1—إصدارات ويندوز 11 26100 و26200 . عمل FudModule بصلاحيات نواة كاملة لـ:
تعطيل أدوات كشف الاستجابة للنقاط الطرفية (EDR) على مستوى النواة
إخفاء أدوات الأمان عن طريق العبث باستدعاءات النواة ومراقبة العمليات
تثبيت الاستمرارية وتحميل أبواب خلفية معيارية إضافية، بما في ذلك MISTPEN والباب الخلفي الجديد Troy
5. الباب الخلفي Troy والبنية التحتية المختطفة
استخدمت المرحلة النهائية الباب الخلفي Troy، وهي أداة وصول عن بعد معيارية جديدة موثقة. تم بناء بنية القيادة بالكامل تقريبًا من خوادم شرعية مختطفة—لم يبن المهاجمون بنيتهم التحتية الخاصة بل اخترقوا خوادم مؤسسات أخرى .
الدول والقطاعات المستهدفة
الفئة
التفاصيل
القطاعات المستهدفة
الدفاع، الفضاء، الطيران
الدول المؤكدة
فرنسا، ألمانيا (أوروبا الغربية)، الهند، البرازيل
الجدول الزمني
الهجمات نشطة منذ أوائل يوليو 2026 على الأقل، مع رصد الاستغلال في وقت مبكر من يونيو
الاستجابة والتخفيف
تصحيح مايكروسوفت
أصدرت مايكروسوفت تصحيحًا في 11 أغسطس 2026 (Patch Tuesday)، شمل 398 ثغرة بما فيها CVE-2026-68820
جاء التصحيح بعد إفصاح مسؤول من باحثي Check Point، الذين حددوا استغلال الثغرة وأبلغوا مايكروسوفت بها
صنفت مايكروسوفت CVE-2026-68820 كـالثغرة الوحيدة التي تم استغلالها بنشاط في تحديث ذلك الشهر
توجيه CISA الطارئ
أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) توجيهًا طارئًا إلزاميًا يأمر جميع وكالات السلطة التنفيذية المدنية الفيدرالية الأمريكية (FCEB) بمعالجة CVE-2026-68820
مُنحت الوكالات مهلة حتى 25 أغسطس 2026 لتطبيق التصحيح
أضافت CISA الثغرة إلى كتالوج الثغرات المستغلة المعروفة (KEV)، مما يتطلب اتخاذ إجراء من جميع المؤسسات الفيدرالية ويوصي به لجميع مؤسسات القطاع الخاص
إجراءات موصى بها للمؤسسات
تطبيق تحديثات Patch Tuesday لشهر أغسطس 2026 من مايكروسوفت فورًا، مع إعطاء الأولوية لـ CVE-2026-68820
مراقبة نشاط AFD.sys غير المعتاد، وتحميل برامج تشغيل النواة غير المتوقعة، والتلاعب بأدوات EDR
تنفيذ كشف على مستوى الشبكة لحركة مرور تبادل مفاتيح Kyber/ML-KEM على قنوات غير متوقعة
لماذا هذا مهم
تمثل هذه الحملة تصعيدًا في التعقيد من جهة تهديد ترعاها دولة وهي بالفعل واحدة من أكثر الجهات فاعلية. استخدام تشفير مقاوم للحواسيب الكمومية لحماية تسليم الاستغلال يشير إلى أن لازاروس تراقب القدرات الدفاعية وتستثمر في جعل عملياتها مقاومة للمستقبل. الاستهداف المتكرر لنفس برنامج تشغيل AFD.sys—الذي تم استغلاله الآن أربع مرات على الأقل منذ عام 2022—يسلط الضوء على سطح ضعف مستمر في نواة ويندوز تواصل مايكروسوفت تصحيحه بشكل تفاعلي .
research.checkpoint.comShattering the Dream - When a Job Offer Becomes a Zero-Day Attack - Check Point Research
thehackernews.comLazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
securityaffairs.comNorth Korean Lazarus Group Uses Windows Zero-Day in ...
securityweek.comFresh Windows Zero-Day Exploited in North Korean ...