Co dělá tento útok výjimečným

Lazarus provozuje operaci Dream Job od roku 2020, ale tato vlna přinesla tři zásadní technická vylepšení :

1. Dříve neznámý zero-day v Windows (CVE-2026-68820) v ovladači AFD.sys
2. Postkvantová výměna klíčů pomocí Kyber/ML-KEM pro šifrování velitelsko-řídicího provozu
3. Nové modulární zadní vrátka Troy, komunikující přes napadené legitimní servery

Útočný řetězec krok za krokem

1. Sociální inženýrství přes falešné pracovní nabídky

Oběti byly kontaktovány na LinkedIn a dalších profesních platformách operátory vydávajícími se za personalisty z Lockheed Martin a soukromé bezpečnostní firmy Enveil . Cíle obdržely popis práce a odkaz na stažení „pohovorových materiálů“. Byly použity dvě paralelní infekční větve :

• Větev A (DLL sideloading): Oběť stáhla ZIP archiv obsahující legitimní, digitálně podepsaný PDF prohlížeč, škodlivou DLL (libmupdf.dll) a zašifrovaný payload s příponou .pdf.enc. Při spuštění PDF prohlížeč nahrál škodlivou DLL, která zobrazila falešné PDF a zároveň v tichosti dešifrovala a spustila payload .
• Větev B (Trojanizovaný PDF prohlížeč): Oběť stáhla falešnou aplikaci s názvem SecurityPDF, která se vydávala za legitimní PDF prohlížeč založený na MuPDF. Tento trojanizovaný prohlížeč vypadal důvěryhodně, ale při otevření speciálně upraveného PDF spustil škodlivý kód .

2. Postkvantové šifrování chrání C2 kanál

Jakmile se inicializační loader spustil, nasadil fingerprintovací modul, který kontaktoval velitelský server a vyžádal si čtyři veřejné klíče. Modul použil Kyber / ML-KEM – NISTem standardizovaný postkvantový mechanismus zapouzdření klíčů – k vygenerování nového klíčového materiálu, zapouzdření sdíleného tajemství a odeslání výsledku zpět na server před vyžádáním samotného exploitu .

Šlo o první zdokumentované použití postkvantového šifrování Lazarusem k ochraně doručení exploitu. Tato technika zajistila, že i kdyby byl síťový provoz zachycen, C2 kanál by nemohl být dešifrován klasickými ani kvantovými protivníky .

3. Zero-day: CVE-2026-68820 v AFD.sys

Doručený payload zneužil CVE-2026-68820, use-after-free závodní podmínku v afd.sys, ovladači Windows Ancillary Function Driver, který zpracovává Winsock operace v režimu jádra . Klíčové technické detaily:

• Skóre CVSS: 7.0 (vysoké)
• Předpoklad: Útočník již musel mít z prvotního loaderu lokální spuštění kódu
• Mechanismus zneužití: Bylo nutné vyhrát závodní podmínku, aby bylo možné úspěšně uvolnit a znovu alokovat paměť jádra, což útočníkovi umožnilo poškodit objekty jádra a dosáhnout eskalace oprávnění na SYSTEM
• Opakovaný vektor: Jednalo se o stejný ovladač (AFD.sys), který Lazarus zneužil nejméně ve čtyřech předchozích kampaních od roku 2022 .

4. Nasazení kernel rootkitu FudModule

Po získání oprávnění SYSTEM exploit nasadil vylepšenou verzi FudModule, typického kernel-mode rootkitu Lazarus . Tato verze – někdy označovaná jako FudModule v3.1 – podporovala Windows 11 buildy 26100 a 26200 . FudModule s plným přístupem k jádru:

• Deaktivoval endpoint detection and response (EDR) nástroje na úrovni jádra
• Oslepil bezpečnostní produkty manipulací s kernel callbacky a monitorováním procesů
• Zajistil perzistenci a nahrál další modulární zadní vrátka, včetně MISTPEN a nových zadních vrátek Troy

5. Troy backdoor a napadená infrastruktura

Závěrečná fáze použila Troy backdoor, nově zdokumentovaný modulární nástroj pro vzdálený přístup. Jeho velitelská infrastruktura byla vybudována téměř výhradně z napadených legitimních serverů – útočníci si nebudovali vlastní infrastrukturu, ale kompromitovali servery jiných organizací .

Cílové země a sektory

Reakce a zmírnění

Záplata od Microsoftu

• Microsoft vydal opravu 11. srpna 2026 (Patch Tuesday), která opravila 398 CVE, včetně CVE-2026-68820
• Oprava následovala po zodpovědném oznámení ze strany Check Point Research, která zneužití zero-day identifikovala a nahlásila Microsoftu
• Microsoft označil CVE-2026-68820 jako jedinou aktivně zneužívanou zranitelnost v tomto měsíčním vydání

Nouzová směrnice CISA

• Americká Agentura pro kybernetickou bezpečnost a ochranu infrastruktury (CISA) vydala závaznou nouzovou směrnici nařizující všem agenturám federální civilní výkonné moci (FCEB) opravit CVE-2026-68820
• Agentury dostaly termín 25. srpna 2026 pro aplikaci záplaty
• CISA přidala tuto zranitelnost do svého katalogu známých zneužitých zranitelností (KEV), což vyžaduje opatření od všech federálních organizací a doporučuje opatření všem soukromým organizacím

Doporučená opatření pro organizace

• Okamžitě aplikujte aktualizace Microsoftu ze srpna 2026 Patch Tuesday, prioritně CVE-2026-68820
• Sledujte anomální aktivitu AFD.sys, neočekávané načítání ovladačů jádra a pokusy o narušení EDR
• Školte zaměstnance o falešných náborových lákadlech a trojanizovaných PDF prohlížečích
• Implementujte detekci na úrovni sítě pro Kyber/ML-KEM key exchange provoz na neočekávaných kanálech

Proč na tom záleží

Tato kampaň představuje eskalaci v sofistikovanosti státem sponzorovaného aktéra, který je již nyní jedním z nejproduktivnějších. Použití postkvantového šifrování k ochraně doručení exploitu naznačuje, že Lazarus monitoruje obranné schopnosti a investuje do budoucnosti svých operací. Opakované cílení na stejný ovladač AFD.sys – nyní zneužitý nejméně čtyřikrát od roku 2022 – poukazuje na přetrvávající plochu zranitelnosti v jádře Windows, kterou Microsoft nadále opravuje reaktivně .

Co dělá tento útok výjimečným

Lazarus provozuje operaci Dream Job od roku 2020, ale tato vlna přinesla tři zásadní technická vylepšení :

1. Dříve neznámý zero-day v Windows (CVE-2026-68820) v ovladači AFD.sys
2. Postkvantová výměna klíčů pomocí Kyber/ML-KEM pro šifrování velitelsko-řídicího provozu
3. Nové modulární zadní vrátka Troy, komunikující přes napadené legitimní servery

Útočný řetězec krok za krokem

1. Sociální inženýrství přes falešné pracovní nabídky

Oběti byly kontaktovány na LinkedIn a dalších profesních platformách operátory vydávajícími se za personalisty z Lockheed Martin a soukromé bezpečnostní firmy Enveil . Cíle obdržely popis práce a odkaz na stažení „pohovorových materiálů“. Byly použity dvě paralelní infekční větve :

• Větev A (DLL sideloading): Oběť stáhla ZIP archiv obsahující legitimní, digitálně podepsaný PDF prohlížeč, škodlivou DLL (libmupdf.dll) a zašifrovaný payload s příponou .pdf.enc. Při spuštění PDF prohlížeč nahrál škodlivou DLL, která zobrazila falešné PDF a zároveň v tichosti dešifrovala a spustila payload .
• Větev B (Trojanizovaný PDF prohlížeč): Oběť stáhla falešnou aplikaci s názvem SecurityPDF, která se vydávala za legitimní PDF prohlížeč založený na MuPDF. Tento trojanizovaný prohlížeč vypadal důvěryhodně, ale při otevření speciálně upraveného PDF spustil škodlivý kód .

2. Postkvantové šifrování chrání C2 kanál

Jakmile se inicializační loader spustil, nasadil fingerprintovací modul, který kontaktoval velitelský server a vyžádal si čtyři veřejné klíče. Modul použil Kyber / ML-KEM – NISTem standardizovaný postkvantový mechanismus zapouzdření klíčů – k vygenerování nového klíčového materiálu, zapouzdření sdíleného tajemství a odeslání výsledku zpět na server před vyžádáním samotného exploitu .

Šlo o první zdokumentované použití postkvantového šifrování Lazarusem k ochraně doručení exploitu. Tato technika zajistila, že i kdyby byl síťový provoz zachycen, C2 kanál by nemohl být dešifrován klasickými ani kvantovými protivníky .

3. Zero-day: CVE-2026-68820 v AFD.sys

Doručený payload zneužil CVE-2026-68820, use-after-free závodní podmínku v afd.sys, ovladači Windows Ancillary Function Driver, který zpracovává Winsock operace v režimu jádra . Klíčové technické detaily:

• Skóre CVSS: 7.0 (vysoké)
• Předpoklad: Útočník již musel mít z prvotního loaderu lokální spuštění kódu
• Mechanismus zneužití: Bylo nutné vyhrát závodní podmínku, aby bylo možné úspěšně uvolnit a znovu alokovat paměť jádra, což útočníkovi umožnilo poškodit objekty jádra a dosáhnout eskalace oprávnění na SYSTEM
• Opakovaný vektor: Jednalo se o stejný ovladač (AFD.sys), který Lazarus zneužil nejméně ve čtyřech předchozích kampaních od roku 2022 .

4. Nasazení kernel rootkitu FudModule

Po získání oprávnění SYSTEM exploit nasadil vylepšenou verzi FudModule, typického kernel-mode rootkitu Lazarus . Tato verze – někdy označovaná jako FudModule v3.1 – podporovala Windows 11 buildy 26100 a 26200 . FudModule s plným přístupem k jádru:

• Deaktivoval endpoint detection and response (EDR) nástroje na úrovni jádra
• Oslepil bezpečnostní produkty manipulací s kernel callbacky a monitorováním procesů
• Zajistil perzistenci a nahrál další modulární zadní vrátka, včetně MISTPEN a nových zadních vrátek Troy

5. Troy backdoor a napadená infrastruktura

Závěrečná fáze použila Troy backdoor, nově zdokumentovaný modulární nástroj pro vzdálený přístup. Jeho velitelská infrastruktura byla vybudována téměř výhradně z napadených legitimních serverů – útočníci si nebudovali vlastní infrastrukturu, ale kompromitovali servery jiných organizací .

Cílové země a sektory

Reakce a zmírnění

Záplata od Microsoftu

• Microsoft vydal opravu 11. srpna 2026 (Patch Tuesday), která opravila 398 CVE, včetně CVE-2026-68820
• Oprava následovala po zodpovědném oznámení ze strany Check Point Research, která zneužití zero-day identifikovala a nahlásila Microsoftu
• Microsoft označil CVE-2026-68820 jako jedinou aktivně zneužívanou zranitelnost v tomto měsíčním vydání

Nouzová směrnice CISA

• Americká Agentura pro kybernetickou bezpečnost a ochranu infrastruktury (CISA) vydala závaznou nouzovou směrnici nařizující všem agenturám federální civilní výkonné moci (FCEB) opravit CVE-2026-68820
• Agentury dostaly termín 25. srpna 2026 pro aplikaci záplaty
• CISA přidala tuto zranitelnost do svého katalogu známých zneužitých zranitelností (KEV), což vyžaduje opatření od všech federálních organizací a doporučuje opatření všem soukromým organizacím

Doporučená opatření pro organizace

• Okamžitě aplikujte aktualizace Microsoftu ze srpna 2026 Patch Tuesday, prioritně CVE-2026-68820
• Sledujte anomální aktivitu AFD.sys, neočekávané načítání ovladačů jádra a pokusy o narušení EDR
• Školte zaměstnance o falešných náborových lákadlech a trojanizovaných PDF prohlížečích
• Implementujte detekci na úrovni sítě pro Kyber/ML-KEM key exchange provoz na neočekávaných kanálech

Proč na tom záleží

Tato kampaň představuje eskalaci v sofistikovanosti státem sponzorovaného aktéra, který je již nyní jedním z nejproduktivnějších. Použití postkvantového šifrování k ochraně doručení exploitu naznačuje, že Lazarus monitoruje obranné schopnosti a investuje do budoucnosti svých operací. Opakované cílení na stejný ovladač AFD.sys – nyní zneužitý nejméně čtyřikrát od roku 2022 – poukazuje na přetrvávající plochu zranitelnosti v jádře Windows, kterou Microsoft nadále opravuje reaktivně .