Was diesen Angriff besonders machte

Lazarus führt die Operation Dream Job seit 2020 durch, doch diese Welle brachte drei bedeutende technische Neuerungen :

1. Einen bis dahin unbekannten Windows-Zero-Day (CVE-2026-68820) im AFD.sys-Treiber
2. Post-Quanten-Schlüsselaustausch mittels Kyber/ML-KEM zur Verschlüsselung des Command-and-Control-Datenverkehrs
3. Eine neue modulare Hintertür namens Troy, die über gekaperte legitime Server kommunizierte

Die Angriffskette Schritt für Schritt

1. Social Engineering über gefälschte Jobangebote

Die Opfer wurden auf LinkedIn und anderen Business-Plattformen von angeblichen Personalvermittlern der Rüstungskonzerne Lockheed Martin und der Datenschutzfirma Enveil kontaktiert . Die Täter schickten Stellenbeschreibungen und Links zu herunterladbaren „Vorstellungsunterlagen“. Dabei kamen zwei parallele Infektionsketten zum Einsatz :

• Kette A (DLL-Sideloading): Das Opfer lud ein ZIP-Archiv herunter, das eine legitime, digital signierte PDF-Viewer-Programmdatei, eine schadhafte DLL (libmupdf.dll) und eine verschlüsselte Nutzlast mit der Endung .pdf.enc enthielt. Beim Öffnen lud der PDF-Viewer die schadhafte DLL nach, die eine harmlose PDF anzeigte, während sie im Hintergrund die Nutzlast entschlüsselte und ausführte .
• Kette B (Trojanisierter PDF-Viewer): Das Opfer lud eine gefälschte Anwendung namens SecurityPDF herunter, die einen legitimen PDF-Viewer auf Basis von MuPDF imitierte. Diese getarnte App schien vertrauenswürdig, lud aber beim Öffnen eines speziell präparierten PDFs schadhaften Code nach .

2. Post-Quanten-Verschlüsselung schützt den C2-Kanal

Sobald der erste Lader ausgeführt wurde, setzte er ein Modul zur Systemerkennung ein, das den Command-Server kontaktierte und vier öffentliche Schlüssel anforderte. Das Modul verwendete Kyber/ML-KEM – das von der US-Behörde NIST standardisierte Post-Quanten-Schlüsselkapselungsverfahren – um neues Schlüsselmaterial zu generieren, ein gemeinsames Geheimnis zu kapseln und das Ergebnis an den Server zu senden, bevor es die eigentliche Exploit-Nutzlast anforderte .

Dies war der erste dokumentierte Einsatz von Post-Quanten-Verschlüsselung durch Lazarus zum Schutz der Exploit-Übertragung. Die Technik stellte sicher, dass selbst abgefangener Netzwerkverkehr weder durch klassische noch durch Quantencomputer entziffert werden konnte .

3. Der Zero-Day: CVE-2026-68820 in AFD.sys

Die zugestellte Nutzlast nutzte CVE-2026-68820 aus, eine Use-After-Free Race Condition in afd.sys, dem Windows-Ancillary-Function-Driver, der Kernel-Mode-Winsock-Operationen abwickelt . Wichtige technische Details:

• CVSS-Score: 7.0 (hoch)
• Voraussetzung: Der Angreifer musste bereits über lokale Codeausführung durch den initialen Lader verfügen
• Ausnutzungsmechanismus: Die Race Condition musste gewonnen werden, um Kernel-Speicher erfolgreich freizugeben und neu zu belegen, wodurch der Angreifer Kernel-Objekte manipulieren und eine lokale Rechteausweitung auf SYSTEM erreichen konnte
• Wiederkehrender Vektor: Es handelte sich um denselben Treiber (AFD.sys), den Lazarus bereits in mindestens vier früheren Kampagnen seit 2022 ausgenutzt hatte .

4. Einsatz des FudModule-Kernel-Rootkits

Nach der Erlangung von SYSTEM-Rechten setzte der Exploit eine aktualisierte Version von FudModule ein, dem charakteristischen Kernel-Mode-Rootkit von Lazarus . Diese Version – auch als FudModule v3.1 bezeichnet – unterstützte Windows 11 Builds 26100 und 26200 . FudModule agierte mit vollständigem Kernel-Zugriff, um:

• Endpoint Detection and Response (EDR)-Werkzeuge auf Kernel-Ebene zu deaktivieren
• Sicherheitsprodukte zu blenden, indem es Kernel-Callbacks und Prozessüberwachung manipulierte
• Persistenz herzustellen und weitere modulare Hintertüren zu laden, darunter MISTPEN und die neue Troy-Hintertür

5. Troy-Hintertür und gekaperte Infrastruktur

Die letzte Stufe nutzte die Troy-Hintertür, ein neu dokumentiertes modulares Fernzugriffs-Werkzeug. Deren Kommando-Infrastruktur bestand fast vollständig aus gekaperten legitimen Servern – die Angreifer bauten keine eigene Infrastruktur auf, sondern kompromittierten fremde Server .

Betroffene Länder und Sektoren

Abwehrmaßnahmen und Reaktion

Microsofts Patch

• Microsoft veröffentlichte am 11. August 2026 (Patch Tuesday) einen Fix, der 398 CVEs schloss, darunter CVE-2026-68820
• Der Fix folgte auf die verantwortungsvolle Offenlegung durch Check Point Research, das die Zero-Day-Ausnutzung identifizierte und an Microsoft meldete
• Microsoft kennzeichnete CVE-2026-68820 als einzige aktiv ausgenutzte Schwachstelle in dieser Monatsversion

CISA-Notfallanordnung

• Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) erließ eine verbindliche Notfallanordnung, die alle Bundesbehörden des zivilen Exekutivbereichs (FCEB) zur Behebung von CVE-2026-68820 verpflichtete
• Die Behörden erhielten eine Frist bis zum 25. August 2026 zur Installation des Patches
• CISA nahm die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) auf, was für Bundesbehörden verpflichtend und für die Privatwirtschaft dringend empfohlen ist

Empfohlene Maßnahmen für Unternehmen

• Microsofts August-2026-Patch-Tuesday-Updates sofort einspielen, mit Priorität für CVE-2026-68820
• Auf anomale AFD.sys-Aktivitäten, unerwartete Kernel-Treiber-Ladevorgänge und EDR-Manipulation achten
• Mitarbeiter über gefälschte Personalvermittler und trojanisierte Dokumenten-Viewer schulen
• Netzwerkbasierte Erkennung von Kyber/ML-KEM-Schlüsselaustausch-Verkehr auf unerwarteten Kanälen implementieren

Warum dies von Bedeutung ist

Diese Kampagne stellt eine Eskalation der Raffinesse eines staatlich gesteuerten Bedrohungsakteurs dar, der bereits zu den produktivsten zählt. Der Einsatz von Post-Quanten-Verschlüsselung zum Schutz der Exploit-Übermittlung deutet darauf hin, dass Lazarus sowohl die Abwehrmaßnahmen der Verteidiger beobachtet als auch in die Zukunftssicherung seiner Operationen investiert. Die wiederholte Ausnutzung desselben AFD.sys-Treibers – nun mindestens viermal seit 2022 – zeigt eine anhaltende Angriffsfläche im Windows-Kernel auf, die Microsoft weiterhin reaktiv schließt .

Was diesen Angriff besonders machte

Lazarus führt die Operation Dream Job seit 2020 durch, doch diese Welle brachte drei bedeutende technische Neuerungen :

1. Einen bis dahin unbekannten Windows-Zero-Day (CVE-2026-68820) im AFD.sys-Treiber
2. Post-Quanten-Schlüsselaustausch mittels Kyber/ML-KEM zur Verschlüsselung des Command-and-Control-Datenverkehrs
3. Eine neue modulare Hintertür namens Troy, die über gekaperte legitime Server kommunizierte

Die Angriffskette Schritt für Schritt

1. Social Engineering über gefälschte Jobangebote

Die Opfer wurden auf LinkedIn und anderen Business-Plattformen von angeblichen Personalvermittlern der Rüstungskonzerne Lockheed Martin und der Datenschutzfirma Enveil kontaktiert . Die Täter schickten Stellenbeschreibungen und Links zu herunterladbaren „Vorstellungsunterlagen“. Dabei kamen zwei parallele Infektionsketten zum Einsatz :

• Kette A (DLL-Sideloading): Das Opfer lud ein ZIP-Archiv herunter, das eine legitime, digital signierte PDF-Viewer-Programmdatei, eine schadhafte DLL (libmupdf.dll) und eine verschlüsselte Nutzlast mit der Endung .pdf.enc enthielt. Beim Öffnen lud der PDF-Viewer die schadhafte DLL nach, die eine harmlose PDF anzeigte, während sie im Hintergrund die Nutzlast entschlüsselte und ausführte .
• Kette B (Trojanisierter PDF-Viewer): Das Opfer lud eine gefälschte Anwendung namens SecurityPDF herunter, die einen legitimen PDF-Viewer auf Basis von MuPDF imitierte. Diese getarnte App schien vertrauenswürdig, lud aber beim Öffnen eines speziell präparierten PDFs schadhaften Code nach .

2. Post-Quanten-Verschlüsselung schützt den C2-Kanal

Sobald der erste Lader ausgeführt wurde, setzte er ein Modul zur Systemerkennung ein, das den Command-Server kontaktierte und vier öffentliche Schlüssel anforderte. Das Modul verwendete Kyber/ML-KEM – das von der US-Behörde NIST standardisierte Post-Quanten-Schlüsselkapselungsverfahren – um neues Schlüsselmaterial zu generieren, ein gemeinsames Geheimnis zu kapseln und das Ergebnis an den Server zu senden, bevor es die eigentliche Exploit-Nutzlast anforderte .

Dies war der erste dokumentierte Einsatz von Post-Quanten-Verschlüsselung durch Lazarus zum Schutz der Exploit-Übertragung. Die Technik stellte sicher, dass selbst abgefangener Netzwerkverkehr weder durch klassische noch durch Quantencomputer entziffert werden konnte .

3. Der Zero-Day: CVE-2026-68820 in AFD.sys

Die zugestellte Nutzlast nutzte CVE-2026-68820 aus, eine Use-After-Free Race Condition in afd.sys, dem Windows-Ancillary-Function-Driver, der Kernel-Mode-Winsock-Operationen abwickelt . Wichtige technische Details:

• CVSS-Score: 7.0 (hoch)
• Voraussetzung: Der Angreifer musste bereits über lokale Codeausführung durch den initialen Lader verfügen
• Ausnutzungsmechanismus: Die Race Condition musste gewonnen werden, um Kernel-Speicher erfolgreich freizugeben und neu zu belegen, wodurch der Angreifer Kernel-Objekte manipulieren und eine lokale Rechteausweitung auf SYSTEM erreichen konnte
• Wiederkehrender Vektor: Es handelte sich um denselben Treiber (AFD.sys), den Lazarus bereits in mindestens vier früheren Kampagnen seit 2022 ausgenutzt hatte .

4. Einsatz des FudModule-Kernel-Rootkits

Nach der Erlangung von SYSTEM-Rechten setzte der Exploit eine aktualisierte Version von FudModule ein, dem charakteristischen Kernel-Mode-Rootkit von Lazarus . Diese Version – auch als FudModule v3.1 bezeichnet – unterstützte Windows 11 Builds 26100 und 26200 . FudModule agierte mit vollständigem Kernel-Zugriff, um:

• Endpoint Detection and Response (EDR)-Werkzeuge auf Kernel-Ebene zu deaktivieren
• Sicherheitsprodukte zu blenden, indem es Kernel-Callbacks und Prozessüberwachung manipulierte
• Persistenz herzustellen und weitere modulare Hintertüren zu laden, darunter MISTPEN und die neue Troy-Hintertür

5. Troy-Hintertür und gekaperte Infrastruktur

Die letzte Stufe nutzte die Troy-Hintertür, ein neu dokumentiertes modulares Fernzugriffs-Werkzeug. Deren Kommando-Infrastruktur bestand fast vollständig aus gekaperten legitimen Servern – die Angreifer bauten keine eigene Infrastruktur auf, sondern kompromittierten fremde Server .

Betroffene Länder und Sektoren

Abwehrmaßnahmen und Reaktion

Microsofts Patch

• Microsoft veröffentlichte am 11. August 2026 (Patch Tuesday) einen Fix, der 398 CVEs schloss, darunter CVE-2026-68820
• Der Fix folgte auf die verantwortungsvolle Offenlegung durch Check Point Research, das die Zero-Day-Ausnutzung identifizierte und an Microsoft meldete
• Microsoft kennzeichnete CVE-2026-68820 als einzige aktiv ausgenutzte Schwachstelle in dieser Monatsversion

CISA-Notfallanordnung

• Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) erließ eine verbindliche Notfallanordnung, die alle Bundesbehörden des zivilen Exekutivbereichs (FCEB) zur Behebung von CVE-2026-68820 verpflichtete
• Die Behörden erhielten eine Frist bis zum 25. August 2026 zur Installation des Patches
• CISA nahm die Schwachstelle in den Katalog bekannter ausgenutzter Schwachstellen (KEV) auf, was für Bundesbehörden verpflichtend und für die Privatwirtschaft dringend empfohlen ist

Empfohlene Maßnahmen für Unternehmen

• Microsofts August-2026-Patch-Tuesday-Updates sofort einspielen, mit Priorität für CVE-2026-68820
• Auf anomale AFD.sys-Aktivitäten, unerwartete Kernel-Treiber-Ladevorgänge und EDR-Manipulation achten
• Mitarbeiter über gefälschte Personalvermittler und trojanisierte Dokumenten-Viewer schulen
• Netzwerkbasierte Erkennung von Kyber/ML-KEM-Schlüsselaustausch-Verkehr auf unerwarteten Kanälen implementieren

Warum dies von Bedeutung ist

Diese Kampagne stellt eine Eskalation der Raffinesse eines staatlich gesteuerten Bedrohungsakteurs dar, der bereits zu den produktivsten zählt. Der Einsatz von Post-Quanten-Verschlüsselung zum Schutz der Exploit-Übermittlung deutet darauf hin, dass Lazarus sowohl die Abwehrmaßnahmen der Verteidiger beobachtet als auch in die Zukunftssicherung seiner Operationen investiert. Die wiederholte Ausnutzung desselben AFD.sys-Treibers – nun mindestens viermal seit 2022 – zeigt eine anhaltende Angriffsfläche im Windows-Kernel auf, die Microsoft weiterhin reaktiv schließt .