Sådan brugte Nordkoreas Lazarus-gruppe en Windows zero-day (CVE-2026-68820) og kvantebestandig Kyber-kryptering til at angribe forsvars-, rumfarts- og luftfartsvirksomheder

Hvad gjorde dette angreb anderledes?

Lazarus har kørt Operation Dream Job siden 2020, men denne bølge introducerede tre væsentlige tekniske opgraderinger :

1. En hidtil ukendt Windows zero-day (CVE-2026-68820) i AFD.sys-driveren
2. Post-kvantenøgleudveksling ved hjælp af Kyber/ML-KEM til at kryptere kommandokanalen
3. En ny modulær bagdør kaldet Troy, der kommunikerede via kaprede legitime servere

Angrebskæden trin for trin

1. Social engineering via falske jobtilbud

Ofrene blev kontaktet på LinkedIn og andre professionelle platforme af operatører, der udgav sig for at være rekrutteringskonsulenter fra Lockheed Martin og privatlivsteknologivirksomheden Enveil . Målene modtog en stillingsbeskrivelse og et link til downloadbare 'interviewmaterialer'. To parallelle infektionskæder blev anvendt :

• Kæde A (DLL sideloading): Offeret downloadede et ZIP-arkiv indeholdende en legitim, digitalt signeret PDF-visning, en ondsindet DLL (libmupdf.dll) og en krypteret nyttelast med en .pdf.enc-endelse. Når PDF-visningen blev startet, sideloadede den den ondsindede DLL, som viste en aflednings-PDF, mens den lydløst dekrypterede og eksekverede nyttelasten .
• Kæde B (Trojaniseret PDF-visning): Offeret downloadede en falsk applikation kaldet SecurityPDF, der efterlignede en legitim PDF-visning baseret på MuPDF. Denne trojaniserede visning så legitim ud, men indlæste ondsindet kode, når en specialfremstillet PDF blev åbnet .

2. Post-kvantekryptering beskytter C2-kanalen

Da den indledende loader blev eksekveret, deployerede den en fingeraftryksmodul, der kontaktede kommandoserveren og anmodede om fire offentlige nøgler. Modulet brugte Kyber / ML-KEM – NIST's standardiserede post-kvantenøgleindkapslingsmekanisme – til at generere nyt nøglemateriale, indkapsle en delt hemmelighed og sende resultatet tilbage til serveren, før den anmodede om den egentlige exploit-nyttelast .

Dette var første gang, dokumenteret, at Lazarus brugte post-kvantekryptering til at beskytte exploit-leverancen. Teknikken sikrede, at selv hvis netværkstrafik blev opfanget, kunne C2-kanalen ikke dekrypteres af klassiske eller kvante-kapable modstandere .

3. Zero-day: CVE-2026-68820 i AFD.sys

Den leverede nyttelast udnyttede CVE-2026-68820, en use-after-free race condition i afd.sys, Windows' Ancillary Function Driver, der håndterer kernel-mode Winsock-operationer . Vigtige tekniske detaljer omfatter:

• CVSS-score: 7.0 (høj)
• Forudsætning: Angriberen skulle allerede have lokal kodeeksekvering fra den indledende loader
• Udnyttelsesmekanisme: Race condition skulle vindes for at frigøre og genallokere kernel-hukommelse, så angriberen kunne korrumpere kernel-objekter og opnå forhøjede rettigheder til SYSTEM
• Tilbagevendende vektor: Dette var samme driver (AFD.sys), Lazarus misbrugte i mindst fire tidligere kampagner siden 2022, hvilket gør det til en vedvarende angrebsflade .

4. FudModule kernel rootkit-deployment

Efter at have opnået SYSTEM-rettigheder deployerede exploit'en en opgraderet version af FudModule, Lazarus' signatur-kerne-mode rootkit . Denne version – nogle gange kaldet FudModule v3.1 – understøttede Windows 11 builds 26100 og 26200 . FudModule opererede med fuld kernel-adgang for at:

• Deaktivere endpoint detection and response (EDR) værktøjer på kernel-niveau
• Blænde sikkerhedsprodukter ved at manipulere kernel-callbacks og processovervågning
• Etablere persistens og indlæse yderligere modulære bagdøre, herunder MISTPEN og den nye Troy bagdør

5. Troy bagdør og kapret infrastruktur

Slutstadiet brugte Troy-bagdøren, et nyt dokumenteret modulært fjernadgangsværktøj. Dets kommandostruktur var næsten udelukkende bygget på kaprede legitime servere – angriberne byggede ikke egen infrastruktur, men kompromitterede i stedet andre organisationers servere .

Lande og sektorer ramt

Afhjælpning og respons

Microsofts rettelse

• Microsoft udsendte en rettelse den 11. august 2026 (Patch Tuesday), der reparerede 398 sårbarheder inklusive CVE-2026-68820
• Rettelsen fulgte efter ansvarlig offentliggørelse af Check Point Research, som identificerede zero-day-udnyttelsen og rapporterede den til Microsoft
• Microsoft markerede CVE-2026-68820 som den eneste aktivt udnyttede sårbarhed i denne måneds udgivelse

CISAs nødordre

• Cybersecurity and Infrastructure Security Agency (CISA) udstedte en obligatorisk nødordre, der pålagde alle amerikanske civile føderale myndigheder (FCEB) at udbedre CVE-2026-68820
• Myndighederne fik frist til 25. august 2026 for at anvende rettelsen
• CISA tilføjede sårbarheden til sin Known Exploited Vulnerabilities (KEV) katalog, hvilket kræver handling fra alle føderale organisationer og anbefaler handling fra alle private organisationer

Anbefalede handlinger for organisationer

• Anvend Microsofts Patch Tuesday-opdateringer for august 2026 straks, prioriter CVE-2026-68820
• Overvåg for unormal AFD.sys-aktivitet, uventet indlæsning af kernel-driver og EDR-manipulation
• Uddan medarbejdere om falske rekrutteringstilbud og trojaniserede dokumentvisningsprogrammer
• Implementér netværksbaseret detektion for Kyber/ML-KEM nøgleudvekslingstrafik på uventede kanaler

Hvorfor dette er vigtigt

Denne kampagne repræsenterer en eskalering i sofistikerethed fra en statsstøttet trusselsaktør, der allerede er en af de mest produktive. Brugen af post-kvantekryptering til at beskytte exploit-leverancen indikerer, at Lazarus både overvåger defensive kapaciteter og investerer i at fremtidssikre sine operationer. Den gentagne målretning af den samme AFD.sys-driver – nu udnyttet mindst fire gange siden 2022 – fremhæver en vedvarende sårbarhedsflade i Windows-kernen, som Microsoft fortsat reaktivt lapper .