Mikä teki tästä hyökkäyksestä erilaisen

Lazarus on pyörittänyt Operaatiota Dream Job vuodesta 2020 lähtien, mutta tämä aalto toi mukanaan kolme merkittävää teknistä uudistusta :

1. Aiemmin tuntematon Windowsin nollapäivä (CVE-2026-68820) AFD.sys-ajurissa
2. Kvanttiturvallinen avainvaihto Kyber/ML-KEM-salauksella komento- ja hallintaliikenteen suojaamiseksi
3. Uusi modulaarinen takaovi nimeltä Troy, joka käyttää kaapattuja laillisia palvelimia

Hyökkäysketju askel askeleelta

1. Sosiaalinen manipulointi väärennettyjen työtarjousten avulla

Uhreja lähestyttiin LinkedInissä ja muilla ammattilaisalustoilla, joilla operaattorit esiintyivät Lockheed Martinin ja tietosuojayritys Enveilin rekrytoijina . Kohteet saivat työnkuvauksen ja linkin ladattaviin ”haastattelumateriaaleihin”. Käytössä oli kaksi rinnakkaista tartuntaketjua :

• Ketju A (DLL-sideloading): Uhri latasi ZIP-arkiston, joka sisälsi laillisen, digitaalisesti allekirjoitetun PDF-katseluohjelman, haitallisen DLL-tiedoston (libmupdf.dll) ja salatun hyötykuorman .pdf.enc-päätteellä. Kun PDF-katseluohjelma käynnistettiin, se latasi haitallisen DLL-tiedoston, joka näytti harhauttavan PDF-tiedoston samalla kun se salasi ja suoritti hyötykuorman .
• Ketju B (Troijalaistettu PDF-katseluohjelma): Uhri latasi SecurityPDF-nimisen väärennetyn sovelluksen, joka matki laillista MuPDF-pohjaista PDF-katseluohjelmaa. Tämä troijalaistettu ohjelma vaikutti lailliselta, mutta luki haitallista koodia avattaessa erityisesti muokattua PDF-tiedostoa .

2. Kvanttiturvallinen salaus suojaa komentokanavaa

Kun alustava latausohjelma oli suoritettu, se otti käyttöön sormenjälkien tunnistusmoduulin, joka otti yhteyttä komentopalvelimeen ja pyysi neljää julkista avainta. Moduuli käytti Kyber / ML-KEM -menetelmää – NISTin standardoimaa kvanttiturvallista avainten kapselointimekanismia – luodakseen uuden avainmateriaalin, kapseloidakseen jaetun salaisuuden ja lähettääkseen tuloksen takaisin palvelimelle ennen varsinaisen hyökkäyshyötykuorman pyytämistä .

Tämä oli ensimmäinen dokumentoitu kerta, kun Lazarus käytti kvanttiturvallista salausta hyökkäysketjussa. Tekniikka varmisti, että vaikka verkkoliikenne siepattaisiin, komentokanavaa ei voitu purkaa klassisilla tai kvanttitietokoneilla .

3. Nollapäivä: CVE-2026-68820 AFD.sys-ajurissa

Toimitettu hyötykuorma hyödynsi CVE-2026-68820-haavoittuvuutta, use-after-free-rotakilpailutilannetta afd.sys-ajurissa. Tämä on Windowsin Ancillary Function Driver, joka käsittelee kernel-tason Winsock-toimintoja . Tekniset yksityiskohdat:

• CVSS-pisteet: 7.0 (korkea)
• Edellytys: Hyökkääjällä tarvitsi olla jo paikallinen koodin suoritusoikeus alustavasta latausohjelmasta
• Hyväksikäyttömekanismi: Rotakilpailu piti voittaa, jotta ytimen muisti saatiin vapautettua ja uudelleenvarattua, mikä mahdollisti ytimen objektien vioittamisen ja oikeuksien korotuksen SYSTEM-tasolle
• Toistuva tekijä: Kyseessä on sama ajuri (AFD.sys), jota Lazarus on käyttänyt hyväksi vähintään neljässä aiemmassa kampanjassa vuodesta 2022 lähtien .

4. FudModule-ydinrootkitin käyttöönotto

SYSTEM-oikeuksien saatuaan hyökkääjät ottivat käyttöön päivitetyn version FudModule-ydinrootkitista . Tämä versio – toisinaan nimetty FudModule v3.1 – tuki Windows 11:n versioita 26100 ja 26200 . FudModule toimi täysillä ytimen oikeuksilla:

• Poisti käytöstä päätepisteiden havainnointi- ja torjuntatyökalut (EDR) ytimen tasolla
• Sokeutti tietoturvatuotteet muuttamalla ytimen takaisinkutsuja ja prosessien valvontaa
• Luo pysyvyyttä ja lataa muita modulaarisia takaovia, kuten MISTPEN ja uuden Troy-takaoven

5. Troy-takaovi ja kaapattu infrastruktuuri

Viimeisessä vaiheessa käytettiin Troy-takaovea, uutta modulaarista etäkäyttötyökalua. Sen komentoinfrastruktuuri rakennettiin lähes kokonaan kaapatuista laillisista palvelimista – hyökkääjät eivät luoneet omaa infrastruktuuriaan vaan kompromisoivat muiden organisaatioiden palvelimia .

Kohdemaat ja -sektorit

Lievennystoimet ja reagointi

Microsoftin korjaustiedosto

• Microsoft julkaisi korjauksen 11. elokuuta 2026 (Patch Tuesday), korjaten 398 CVE-haavoittuvuutta, mukaan lukien CVE-2026-68820
• Korjaus seurasi Check Point Researchin vastuullista ilmoitusta, joka tunnisti nollapäivän hyväksikäytön ja raportoi siitä Microsoftille
• Microsoft merkitsi CVE-2026-68820:n ainoa aktiivisesti hyväksikäytetyksi haavoittuvuudeksi kyseisessä päivityksessä

CISA:n hätädirektiivi

• Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) antoi pakottavan hätädirektiivin, joka määrää kaikki liittovaltion siviilihallinnon virastot korjaamaan CVE-2026-68820:n
• Virastot saivat määräajaksi 25. elokuuta 2026 päivityksen asentamiseen
• CISA lisäsi haavoittuvuuden Known Exploited Vulnerabilities (KEV) -luetteloonsa, mikä edellyttää toimenpiteitä kaikilta liittovaltion organisaatioilta ja suosittelee niitä yksityiselle sektorille

Suositukset organisaatioille

• Asenna Microsoftin elokuun 2026 Patch Tuesday -päivitykset välittömästi, priorisoi CVE-2026-68820
• Seuraa poikkeavaa AFD.sys-ajurin toimintaa, odottamattomia ytimen ajurien latauksia ja EDR-työkalujen manipulointia
• Kouluta henkilöstöä tunnistamaan väärennetyt rekrytointiviestit ja troijalaistetut dokumenttien katseluohjelmat
• Ota käyttöön verkkotason havainnointi Kyber/ML-KEM-avainvaihtoliikenteelle odottamattomilla kanavilla

Miksi tämä on merkittävää

Tämä kampanja osoittaa valtiollisen toimijan kyvyn kehittää hyökkäyksiään entistä kehittyneemmiksi. Kvanttiturvallisen salauksen käyttö hyökkäysketjun suojaamiseksi viittaa siihen, että Lazarus sekä seuraa puolustuskeinoja että investoi toimintansa tulevaisuuden turvaamiseen. Samaa AFD.sys-ajuria on nyt käytetty hyväksi vähintään neljä kertaa vuodesta 2022 lähtien, mikä korostaa Windows-ytimen pysyvää haavoittuvuuspintaa, jota Microsoft korjaa edelleen reaktiivisesti .

Mikä teki tästä hyökkäyksestä erilaisen

Lazarus on pyörittänyt Operaatiota Dream Job vuodesta 2020 lähtien, mutta tämä aalto toi mukanaan kolme merkittävää teknistä uudistusta :

1. Aiemmin tuntematon Windowsin nollapäivä (CVE-2026-68820) AFD.sys-ajurissa
2. Kvanttiturvallinen avainvaihto Kyber/ML-KEM-salauksella komento- ja hallintaliikenteen suojaamiseksi
3. Uusi modulaarinen takaovi nimeltä Troy, joka käyttää kaapattuja laillisia palvelimia

Hyökkäysketju askel askeleelta

1. Sosiaalinen manipulointi väärennettyjen työtarjousten avulla

Uhreja lähestyttiin LinkedInissä ja muilla ammattilaisalustoilla, joilla operaattorit esiintyivät Lockheed Martinin ja tietosuojayritys Enveilin rekrytoijina . Kohteet saivat työnkuvauksen ja linkin ladattaviin ”haastattelumateriaaleihin”. Käytössä oli kaksi rinnakkaista tartuntaketjua :

• Ketju A (DLL-sideloading): Uhri latasi ZIP-arkiston, joka sisälsi laillisen, digitaalisesti allekirjoitetun PDF-katseluohjelman, haitallisen DLL-tiedoston (libmupdf.dll) ja salatun hyötykuorman .pdf.enc-päätteellä. Kun PDF-katseluohjelma käynnistettiin, se latasi haitallisen DLL-tiedoston, joka näytti harhauttavan PDF-tiedoston samalla kun se salasi ja suoritti hyötykuorman .
• Ketju B (Troijalaistettu PDF-katseluohjelma): Uhri latasi SecurityPDF-nimisen väärennetyn sovelluksen, joka matki laillista MuPDF-pohjaista PDF-katseluohjelmaa. Tämä troijalaistettu ohjelma vaikutti lailliselta, mutta luki haitallista koodia avattaessa erityisesti muokattua PDF-tiedostoa .

2. Kvanttiturvallinen salaus suojaa komentokanavaa

Kun alustava latausohjelma oli suoritettu, se otti käyttöön sormenjälkien tunnistusmoduulin, joka otti yhteyttä komentopalvelimeen ja pyysi neljää julkista avainta. Moduuli käytti Kyber / ML-KEM -menetelmää – NISTin standardoimaa kvanttiturvallista avainten kapselointimekanismia – luodakseen uuden avainmateriaalin, kapseloidakseen jaetun salaisuuden ja lähettääkseen tuloksen takaisin palvelimelle ennen varsinaisen hyökkäyshyötykuorman pyytämistä .

Tämä oli ensimmäinen dokumentoitu kerta, kun Lazarus käytti kvanttiturvallista salausta hyökkäysketjussa. Tekniikka varmisti, että vaikka verkkoliikenne siepattaisiin, komentokanavaa ei voitu purkaa klassisilla tai kvanttitietokoneilla .

3. Nollapäivä: CVE-2026-68820 AFD.sys-ajurissa

Toimitettu hyötykuorma hyödynsi CVE-2026-68820-haavoittuvuutta, use-after-free-rotakilpailutilannetta afd.sys-ajurissa. Tämä on Windowsin Ancillary Function Driver, joka käsittelee kernel-tason Winsock-toimintoja . Tekniset yksityiskohdat:

• CVSS-pisteet: 7.0 (korkea)
• Edellytys: Hyökkääjällä tarvitsi olla jo paikallinen koodin suoritusoikeus alustavasta latausohjelmasta
• Hyväksikäyttömekanismi: Rotakilpailu piti voittaa, jotta ytimen muisti saatiin vapautettua ja uudelleenvarattua, mikä mahdollisti ytimen objektien vioittamisen ja oikeuksien korotuksen SYSTEM-tasolle
• Toistuva tekijä: Kyseessä on sama ajuri (AFD.sys), jota Lazarus on käyttänyt hyväksi vähintään neljässä aiemmassa kampanjassa vuodesta 2022 lähtien .

4. FudModule-ydinrootkitin käyttöönotto

SYSTEM-oikeuksien saatuaan hyökkääjät ottivat käyttöön päivitetyn version FudModule-ydinrootkitista . Tämä versio – toisinaan nimetty FudModule v3.1 – tuki Windows 11:n versioita 26100 ja 26200 . FudModule toimi täysillä ytimen oikeuksilla:

• Poisti käytöstä päätepisteiden havainnointi- ja torjuntatyökalut (EDR) ytimen tasolla
• Sokeutti tietoturvatuotteet muuttamalla ytimen takaisinkutsuja ja prosessien valvontaa
• Luo pysyvyyttä ja lataa muita modulaarisia takaovia, kuten MISTPEN ja uuden Troy-takaoven

5. Troy-takaovi ja kaapattu infrastruktuuri

Viimeisessä vaiheessa käytettiin Troy-takaovea, uutta modulaarista etäkäyttötyökalua. Sen komentoinfrastruktuuri rakennettiin lähes kokonaan kaapatuista laillisista palvelimista – hyökkääjät eivät luoneet omaa infrastruktuuriaan vaan kompromisoivat muiden organisaatioiden palvelimia .

Kohdemaat ja -sektorit

Lievennystoimet ja reagointi

Microsoftin korjaustiedosto

• Microsoft julkaisi korjauksen 11. elokuuta 2026 (Patch Tuesday), korjaten 398 CVE-haavoittuvuutta, mukaan lukien CVE-2026-68820
• Korjaus seurasi Check Point Researchin vastuullista ilmoitusta, joka tunnisti nollapäivän hyväksikäytön ja raportoi siitä Microsoftille
• Microsoft merkitsi CVE-2026-68820:n ainoa aktiivisesti hyväksikäytetyksi haavoittuvuudeksi kyseisessä päivityksessä

CISA:n hätädirektiivi

• Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) antoi pakottavan hätädirektiivin, joka määrää kaikki liittovaltion siviilihallinnon virastot korjaamaan CVE-2026-68820:n
• Virastot saivat määräajaksi 25. elokuuta 2026 päivityksen asentamiseen
• CISA lisäsi haavoittuvuuden Known Exploited Vulnerabilities (KEV) -luetteloonsa, mikä edellyttää toimenpiteitä kaikilta liittovaltion organisaatioilta ja suosittelee niitä yksityiselle sektorille

Suositukset organisaatioille

• Asenna Microsoftin elokuun 2026 Patch Tuesday -päivitykset välittömästi, priorisoi CVE-2026-68820
• Seuraa poikkeavaa AFD.sys-ajurin toimintaa, odottamattomia ytimen ajurien latauksia ja EDR-työkalujen manipulointia
• Kouluta henkilöstöä tunnistamaan väärennetyt rekrytointiviestit ja troijalaistetut dokumenttien katseluohjelmat
• Ota käyttöön verkkotason havainnointi Kyber/ML-KEM-avainvaihtoliikenteelle odottamattomilla kanavilla

Miksi tämä on merkittävää

Tämä kampanja osoittaa valtiollisen toimijan kyvyn kehittää hyökkäyksiään entistä kehittyneemmiksi. Kvanttiturvallisen salauksen käyttö hyökkäysketjun suojaamiseksi viittaa siihen, että Lazarus sekä seuraa puolustuskeinoja että investoi toimintansa tulevaisuuden turvaamiseen. Samaa AFD.sys-ajuria on nyt käytetty hyväksi vähintään neljä kertaa vuodesta 2022 lähtien, mikä korostaa Windows-ytimen pysyvää haavoittuvuuspintaa, jota Microsoft korjaa edelleen reaktiivisesti .