קבוצת לזרוס ניצלה פרצת יום-אפס של Windows עם הצפנה חסינת-קוונטים כדי לפרוץ לחברות ביטחון גלובליות

מה הפך את המתקפה הזו לשונה

לזרוס מנהלת את מבצע "חלום עבודה" מאז 2020, אבל בגל הזה הוכנסו שלושה שדרוגים טכנולוגיים משמעותיים :

1. פרצת יום-אפס לא ידועה של Windows (CVE-2026-68820) בדרייבר AFD.sys
2. החלפת מפתח פוסט-קוונטית באמצעות Kyber/ML-KEM להצפנת תעבורת הפיקוד והשליטה
3. דלת אחורית מודולרית חדשה בשם Troy, המתקשרת דרך שרתים לגיטימיים שנחטפו

שרשרת התקיפה, צעד אחר צעד

1. הנדסה חברתית באמצעות הצעות עבודה מזויפות

קורבנות נוצלו בלינקדאין ובפלטפורמות מקצועיות אחרות על ידי מפעילים שהתחזו למגייסים מחברת לוקהיד מרטין ומחברת הפרטיות Enveil . המטרות קיבלו תיאור משרה וקישור להורדת "חומרי ראיון". נעשה שימוש בשתי שרשראות הדבקה מקבילות :

• שרשרת A (הטענת DLL צדדית): הקורבן הוריד ארכיון ZIP שהכיל קובץ הפעלה לגיטימי של מציג PDF חתום דיגיטלית, DLL זדוני (libmupdf.dll), ומטען מוצפן בסיומת .pdf.enc. כאשר הופעל מציג ה-PDF, הוא טען את ה-DLL הזדוני, שהציג קובץ PDF-הטעיה תוך כדי פענוח והפעלה שקטה של המטען הזדוני .
• שרשרת B (תוכנת PDF מזויפת): הקורבן הוריד יישום מזויף בשם SecurityPDF, שהתחזה למציג PDF לגיטימי המבוסס על MuPDF. היישום המזויף נראה לגיטימי אך טען קוד זדוני בעת פתיחת קובץ PDF שהוכן במיוחד .

2. הצפנה פוסט-קוונטית מגנה על ערוץ הפיקוד

לאחר שהופעל מטען ההתחלתי, הוא פרש מודול לאיסוף מידע על המערכת שיצר קשר עם שרת הפיקוד וביקש ארבעה מפתחות ציבוריים. המודול השתמש ב-Kyber / ML-KEM—מנגנון עטיפת המפתח הפוסט-קוונטי הסטנדרטי של NIST—כדי ליצור חומר מפתח חדש, לעטוף סוד משותף, ולשלוח את התוצאה בחזרה לשרת לפני שביקש את מטען הניצול בפועל .

זו הייתה הפעם המתועדת הראשונה שבה קבוצת לזרוס השתמשה בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול. הטכניקה הבטיחה שגם אם תעבורת הרשת תיורט, לא ניתן יהיה לפענח את ערוץ הפיקוד, אפילו על ידי יריבים בעלי יכולת קוונטית .

3. יום-האפס: CVE-2026-68820 ב-AFD.sys

המטען שהועבר ניצל את CVE-2026-68820, פגיעות use-after-free מסוג race condition ב-afd.sys, דרייבר ה-Ancillary Function Driver של Windows המטפל בפעולות Winsock בליבת המערכת . פרטים טכניים עיקריים:

• ציון CVSS: 7.0 (גבוה)
• תנאי מוקדם: התוקף נזקק כבר להרצת קוד מקומית מהמטען ההתחלתי
• מנגנון ניצול: היה צורך לנצח ב-race condition כדי לשחרר בהצלחה ולשחזר זיכרון בליבה, ולאפשר לתוקף לשחית אובייקטים בליבה ולהשיג הרחבת הרשאות מקומית ל-SYSTEM
• וקטור חוזר: זהו אותו דרייבר (AFD.sys) שבו קבוצת לזרוס ניצלה לפחות בארבעה קמפיינים קודמים מאז 2022, מה שהופך אותו למשטח תקיפה חוזר .

4. פריסת Rootkit ליבת FudModule

לאחר השגת הרשאות SYSTEM, הניצול פרס גרסה משודרגת של FudModule, rootkit ליבת המערכת החתימה של לזרוס . גרסה זו—המכונה לעיתים FudModule v3.1—תמכה בבנייני Windows 11 26100 ו-26200 . FudModule פעל עם גישה מלאה לליבה כדי:

• לנטרל כלי זיהוי ותגובה בקצה (EDR) ברמת הליבה
• לסנוור מוצרי אבטחה על ידי חבלה ב-callbacks של הליבה ובניטור תהליכים
• לקבוע נוכחות מתמשכת ולטעון דלתות אחוריות מודולריות נוספות, כולל MISTPEN וה-Troy החדשה

5. דלת אחורית Troy ותשתית שנחטפה

השלב הסופי השתמש בדלת האחורית Troy, כלי גישה מרחוק מודולרי שתועד לאחרונה. תשתית הפקודות שלו נבנתה כמעט כולה משרתים לגיטימיים שנחטפו—התוקפים לא בנו תשתית משלהם אלא פרצו לשרתים של ארגונים אחרים .

מדינות ומגזרים שאליהם כוונו התקיפות

צעדי תגובה ומיתון

התיקון של מיקרוסופט

• מיקרוסופט פרסמה תיקון ב-11 באוגוסט 2026 (Patch Tuesday), שתיקן 398 CVEs, כולל CVE-2026-68820
• התיקון הגיע בעקבות גילוי אחראי של חוקרי צ'ק פוינט, שזיהו את ניצול יום-האפס ודיווחו עליו למיקרוסופט
• מיקרוסופט סימנה את CVE-2026-68820 כפגיעות היחידה שנוצלה באופן פעיל באותו חודש

הוראת החירום של CISA

• הסוכנות לאבטחת סייבר ותשתיות (CISA) פרסמה הוראת חירום מחייבת שמורה על כל סוכנויות הרשות המבצעת האזרחית הפדרלית (FCEB) בארה"ב לתקן את CVE-2026-68820
• לסוכנויות ניתן מועד אחרון של 25 באוגוסט 2026 להחיל את התיקון
• CISA הוסיפה את הפגיעות לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה, המחייב פעולה מצד כל הארגונים הפדרליים וממליץ על פעולה מצד כל הארגונים במגזר הפרטי

פעולות מומלצות לארגונים

• יש להחיל את עדכוני Patch Tuesday של מיקרוסופט מאוגוסט 2026 באופן מיידי, תוך עדיפות ל-CVE-2026-68820
• יש לנטר פעילות חריגה של AFD.sys, טעינת דרייברים לא צפויה בליבה, וחבלה בכלי EDR
• יש לחנך עובדים על פיתויים של מגייסים מזויפים ועל תוכנות צפייה ב-PDF מזויפות
• יש ליישם זיהוי ברשת של תעבורת החלפת מפתחות Kyber/ML-KEM בערוצים לא צפויים

למה זה חשוב

קמפיין זה מייצג הסלמה ברמת התחכום מצד שחקן איום בחסות מדינה שהוא ממילא אחד הפוריים ביותר. השימוש בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול מעיד על כך שלזרוס גם מנטרת יכולות הגנה וגם משקיעה בחיזוק עמידות עתידית של פעולותיה. הפגיעה החוזרת באותו דרייבר AFD.sys—שנוצל לפחות ארבע פעמים מאז 2022—מדגישה משטח פגיעות מתמשך בליבת Windows שמיקרוסופט ממשיכה לתקן בצורה תגובתית .