¿Qué hace diferente a este ataque?

Lazarus lleva ejecutando la Operación Sueño Imposible desde 2020, pero esta oleada incorporó tres mejoras técnicas significativas :

1. Un ‘zero-day’ desconocido de Windows (CVE-2026-68820) en el driver AFD.sys
2. Intercambio de claves post-cuántico con Kyber/ML-KEM para cifrar el tráfico de mando y control
3. Una nueva puerta trasera modular llamada Troy, que se comunica a través de servidores legítimos secuestrados

La cadena de ataque, paso a paso

1. Ingeniería social con ofertas de trabajo falsas

Los atacantes contactaban con sus víctimas en LinkedIn y otras plataformas profesionales haciéndose pasar por reclutadores de Lockheed Martin y de la firma de privacidad Enveil . Las víctimas recibían una descripción del puesto y un enlace para descargar un supuesto "material para la entrevista". Se utilizaron dos cadenas de infección paralelas :

• Cadena A (DLL sideloading): La víctima descargaba un archivo ZIP que contenía un ejecutable legítimo de un visor PDF firmado digitalmente, una DLL maliciosa (libmupdf.dll) y un payload cifrado con extensión .pdf.enc. Al abrir el ZIP y ejecutar el visor, este cargaba la DLL maliciosa, que mostraba un PDF señuelo mientras, en segundo plano, descifraba y ejecutaba el payload real .
• Cadena B (Visor PDF troyanizado): La víctima descargaba una aplicación falsa llamada SecurityPDF, que suplantaba a un visor PDF legítimo basado en MuPDF. Este visor parecía auténtico, pero al abrir un PDF especialmente diseñado, cargaba código malicioso .

2. Cifrado post-cuántico para proteger el canal de mando y control

Una vez ejecutado el cargador inicial, este desplegaba un módulo de reconocimiento que contactaba con el servidor de mando y control y solicitaba cuatro claves públicas. El módulo usaba Kyber / ML-KEM —el mecanismo de encapsulación de claves post-cuántico estandarizado por el NIST— para generar nuevo material criptográfico, encapsular un secreto compartido y enviar el resultado al servidor antes de solicitar el payload del exploit .

Este fue el primer uso documentado de cifrado post-cuántico por parte de Lazarus para proteger la entrega de un exploit. La técnica garantizaba que, incluso si el tráfico de red era interceptado, el canal de mando y control no podría descifrarse, ni siquiera con ordenadores cuánticos .

3. El ‘zero-day’: CVE-2026-68820 en AFD.sys

El payload recibido explotaba CVE-2026-68820, una vulnerabilidad de tipo "use-after-free" (uso después de liberación) con condición de carrera en afd.sys, el controlador de funciones auxiliares de Windows que gestiona las operaciones Winsock en modo kernel . Los detalles técnicos clave son:

• Puntuación CVSS: 7.0 (alta)
• Precondición: El atacante ya debía tener capacidad de ejecución local de código (gracias al cargador inicial)
• Mecanismo de explotación: Era necesario ganar la condición de carrera para liberar y reasignar correctamente la memoria del kernel, lo que permitía al atacante corromper objetos del kernel y escalar privilegios locales a SYSTEM
• Vector recurrente: Este era el mismo controlador (AFD.sys) que Lazarus había explotado en al menos cuatro campañas anteriores desde 2022, lo que lo convierte en una superficie de ataque persistente .

4. Despliegue del rootkit FudModule en el kernel

Tras obtener privilegios de SYSTEM, el exploit desplegaba una versión mejorada de FudModule, el rootkit característico de Lazarus que opera en modo kernel . Esta versión —a veces denominada FudModule v3.1— era compatible con Windows 11 builds 26100 y 26200 . FudModule, con acceso total al kernel, permitía:

• Desactivar las herramientas de detección y respuesta en endpoints (EDR) a nivel de kernel
• Cegar a los productos de seguridad alterando las devoluciones de llamada del kernel y la supervisión de procesos
• Establecer persistencia y cargar puertas traseras modulares adicionales, como MISTPEN y la nueva Troy

5. La puerta trasera Troy y la infraestructura secuestrada

La etapa final utilizaba la puerta trasera Troy, una herramienta de acceso remoto modular recién documentada. Su infraestructura de mando y control se construyó casi en su totalidad a partir de servidores legítimos secuestrados —los atacantes no crearon su propia infraestructura, sino que comprometieron servidores de otras organizaciones .

Países y sectores atacados

Mitigación y respuesta

El parche de Microsoft

• Microsoft lanzó una corrección el 11 de agosto de 2026 (martes de parches), solucionando 398 CVEs, incluido CVE-2026-68820
• La corrección siguió a la divulgación responsable por parte de Check Point Research, que identificó la explotación del ‘zero-day’ y la notificó a Microsoft
• Microsoft señaló CVE-2026-68820 como la única vulnerabilidad explotada activamente en ese lote mensual

Directiva de emergencia de la CISA

• La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU. emitió una Directiva de Emergencia obligatoria ordenando a todas las agencias del Poder Ejecutivo Civil Federal (FCEB) de EE. UU. que corrigieran CVE-2026-68820
• Se fijó como fecha límite el 25 de agosto de 2026 para aplicar el parche
• La CISA añadió la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que exige su corrección a todas las organizaciones federales y lo recomienda encarecidamente a las del sector privado

Acciones recomendadas para las organizaciones

• Aplicar las actualizaciones del 'Patch Tuesday' de agosto de 2026 de Microsoft de inmediato, priorizando CVE-2026-68820
• Monitorizar la actividad anómala de AFD.sys, las cargas inesperadas de controladores del kernel y la manipulación de las herramientas EDR
• Formar a los empleados para que reconozcan las ofertas de trabajo falsas y los visores de documentos troyanizados
• Implementar la detección a nivel de red del tráfico de intercambio de claves Kyber/ML-KEM en canales no esperados

Por qué es importante

Esta campaña representa una escalada en la sofisticación de un actor patrocinado por un estado que ya es de por sí uno de los más prolíficos. El uso de cifrado post-cuántico para proteger la entrega de un exploit sugiere que Lazarus está monitorizando las capacidades defensivas e invirtiendo en preparar sus operaciones para el futuro. La reincidencia en la explotación del mismo controlador AFD.sys —ahora explotado al menos cuatro veces desde 2022— pone de manifiesto una superficie de vulnerabilidad persistente en el kernel de Windows que Microsoft sigue parcheando de forma reactiva .

¿Qué hace diferente a este ataque?

Lazarus lleva ejecutando la Operación Sueño Imposible desde 2020, pero esta oleada incorporó tres mejoras técnicas significativas :

1. Un ‘zero-day’ desconocido de Windows (CVE-2026-68820) en el driver AFD.sys
2. Intercambio de claves post-cuántico con Kyber/ML-KEM para cifrar el tráfico de mando y control
3. Una nueva puerta trasera modular llamada Troy, que se comunica a través de servidores legítimos secuestrados

La cadena de ataque, paso a paso

1. Ingeniería social con ofertas de trabajo falsas

Los atacantes contactaban con sus víctimas en LinkedIn y otras plataformas profesionales haciéndose pasar por reclutadores de Lockheed Martin y de la firma de privacidad Enveil . Las víctimas recibían una descripción del puesto y un enlace para descargar un supuesto "material para la entrevista". Se utilizaron dos cadenas de infección paralelas :

• Cadena A (DLL sideloading): La víctima descargaba un archivo ZIP que contenía un ejecutable legítimo de un visor PDF firmado digitalmente, una DLL maliciosa (libmupdf.dll) y un payload cifrado con extensión .pdf.enc. Al abrir el ZIP y ejecutar el visor, este cargaba la DLL maliciosa, que mostraba un PDF señuelo mientras, en segundo plano, descifraba y ejecutaba el payload real .
• Cadena B (Visor PDF troyanizado): La víctima descargaba una aplicación falsa llamada SecurityPDF, que suplantaba a un visor PDF legítimo basado en MuPDF. Este visor parecía auténtico, pero al abrir un PDF especialmente diseñado, cargaba código malicioso .

2. Cifrado post-cuántico para proteger el canal de mando y control

Una vez ejecutado el cargador inicial, este desplegaba un módulo de reconocimiento que contactaba con el servidor de mando y control y solicitaba cuatro claves públicas. El módulo usaba Kyber / ML-KEM —el mecanismo de encapsulación de claves post-cuántico estandarizado por el NIST— para generar nuevo material criptográfico, encapsular un secreto compartido y enviar el resultado al servidor antes de solicitar el payload del exploit .

Este fue el primer uso documentado de cifrado post-cuántico por parte de Lazarus para proteger la entrega de un exploit. La técnica garantizaba que, incluso si el tráfico de red era interceptado, el canal de mando y control no podría descifrarse, ni siquiera con ordenadores cuánticos .

3. El ‘zero-day’: CVE-2026-68820 en AFD.sys

El payload recibido explotaba CVE-2026-68820, una vulnerabilidad de tipo "use-after-free" (uso después de liberación) con condición de carrera en afd.sys, el controlador de funciones auxiliares de Windows que gestiona las operaciones Winsock en modo kernel . Los detalles técnicos clave son:

• Puntuación CVSS: 7.0 (alta)
• Precondición: El atacante ya debía tener capacidad de ejecución local de código (gracias al cargador inicial)
• Mecanismo de explotación: Era necesario ganar la condición de carrera para liberar y reasignar correctamente la memoria del kernel, lo que permitía al atacante corromper objetos del kernel y escalar privilegios locales a SYSTEM
• Vector recurrente: Este era el mismo controlador (AFD.sys) que Lazarus había explotado en al menos cuatro campañas anteriores desde 2022, lo que lo convierte en una superficie de ataque persistente .

4. Despliegue del rootkit FudModule en el kernel

Tras obtener privilegios de SYSTEM, el exploit desplegaba una versión mejorada de FudModule, el rootkit característico de Lazarus que opera en modo kernel . Esta versión —a veces denominada FudModule v3.1— era compatible con Windows 11 builds 26100 y 26200 . FudModule, con acceso total al kernel, permitía:

• Desactivar las herramientas de detección y respuesta en endpoints (EDR) a nivel de kernel
• Cegar a los productos de seguridad alterando las devoluciones de llamada del kernel y la supervisión de procesos
• Establecer persistencia y cargar puertas traseras modulares adicionales, como MISTPEN y la nueva Troy

5. La puerta trasera Troy y la infraestructura secuestrada

La etapa final utilizaba la puerta trasera Troy, una herramienta de acceso remoto modular recién documentada. Su infraestructura de mando y control se construyó casi en su totalidad a partir de servidores legítimos secuestrados —los atacantes no crearon su propia infraestructura, sino que comprometieron servidores de otras organizaciones .

Países y sectores atacados

Mitigación y respuesta

El parche de Microsoft

• Microsoft lanzó una corrección el 11 de agosto de 2026 (martes de parches), solucionando 398 CVEs, incluido CVE-2026-68820
• La corrección siguió a la divulgación responsable por parte de Check Point Research, que identificó la explotación del ‘zero-day’ y la notificó a Microsoft
• Microsoft señaló CVE-2026-68820 como la única vulnerabilidad explotada activamente en ese lote mensual

Directiva de emergencia de la CISA

• La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE. UU. emitió una Directiva de Emergencia obligatoria ordenando a todas las agencias del Poder Ejecutivo Civil Federal (FCEB) de EE. UU. que corrigieran CVE-2026-68820
• Se fijó como fecha límite el 25 de agosto de 2026 para aplicar el parche
• La CISA añadió la vulnerabilidad a su catálogo de vulnerabilidades explotadas conocidas (KEV), lo que exige su corrección a todas las organizaciones federales y lo recomienda encarecidamente a las del sector privado

Acciones recomendadas para las organizaciones

• Aplicar las actualizaciones del 'Patch Tuesday' de agosto de 2026 de Microsoft de inmediato, priorizando CVE-2026-68820
• Monitorizar la actividad anómala de AFD.sys, las cargas inesperadas de controladores del kernel y la manipulación de las herramientas EDR
• Formar a los empleados para que reconozcan las ofertas de trabajo falsas y los visores de documentos troyanizados
• Implementar la detección a nivel de red del tráfico de intercambio de claves Kyber/ML-KEM en canales no esperados

Por qué es importante

Esta campaña representa una escalada en la sofisticación de un actor patrocinado por un estado que ya es de por sí uno de los más prolíficos. El uso de cifrado post-cuántico para proteger la entrega de un exploit sugiere que Lazarus está monitorizando las capacidades defensivas e invirtiendo en preparar sus operaciones para el futuro. La reincidencia en la explotación del mismo controlador AFD.sys —ahora explotado al menos cuatro veces desde 2022— pone de manifiesto una superficie de vulnerabilidad persistente en el kernel de Windows que Microsoft sigue parcheando de forma reactiva .