קבוצת לזרוס ניצלה פרצת יום-אפס של Windows עם הצפנה חסינת-קוונטים כדי לפרוץ לחברות ביטחון גלובליות
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל. זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת ה...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל.
זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת הפיקוד והשליטה, מה שהופך את יירוט התעבורה לחסר תועלת אפילו עבור יריבים בעלי יכולת קוונטית.
שרשרת התקיפה החלה במשרות פיקטיביות בלינקדאין, הובילה להורדת תוכנת PDF מזויפת, וכללה ניצול פרצה בליבת Windows לפריסת דלת אחורית חדשה בשם Troy על גבי שרתים לגיטימיים שנחטפו.
מיקרוסופט פרסמה תיקון ב 11 באוגוסט 2026, ו CISA הורתה לכל הסוכנויות הפדרליות בארה"ב לתקן את הפרצה עד 25 באוגוסט 2026.
How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defenseAI-generated illustration of the Lazarus Group attack chain involving CVE-2026-68820, Kyber encryption, and FudModule rootkit.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defense. Article summary: I'll research this complex multi-part question thoroughly. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
בראשית 2026, קבוצת לזרוס מצפון קוריאה העצימה את מבצע "חלום עבודה" (Operation Dream Job) המתמשך שלה עם שרשרת תקיפה מתוחכמת ששילבה פרצת יום-אפס בליבת Windows עם קריפטוגרפיה פוסט-קוונטית. חוקרי צ'ק פוינט (Check Point Research) חשפו את הקמפיין ודיווחו על הפגיעות—CVE-2026-68820—למיקרוסופט, שתיקנה אותה ב-11 באוגוסט 2026 במסגרת Patch Tuesday . הקמפיין כיוון לארגוני ביטחון, תעופה וחלל ברחבי מערב אירופה, הודו וברזיל, תוך שימוש בפיתויים של משרות פיקטיביות, תוכנת PDF מזויפת, ודלת אחורית חדשה בשם Troy.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "קבוצת לזרוס ניצלה פרצת יום-אפס של Windows עם הצפנה חסינת-קוונטים כדי לפרוץ לחברות ביטחון גלובליות"?
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל.
What are the key points to validate first?
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל. זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת הפיקוד והשליטה, מה שהופך את יירוט התעבורה לחסר תועלת אפילו עבור יריבים בעלי יכולת קוונטית.
What should I do next in practice?
שרשרת התקיפה החלה במשרות פיקטיביות בלינקדאין, הובילה להורדת תוכנת PDF מזויפת, וכללה ניצול פרצה בליבת Windows לפריסת דלת אחורית חדשה בשם Troy על גבי שרתים לגיטימיים שנחטפו.
קבוצת לזרוס ניצלה פרצת יום-אפס של Windows עם הצפנה חסינת-קוונטים כדי לפרוץ לחברות ביטחון גלובליות
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל. זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת ה...
פורסם על ידינערך באמצעות DeepSeek-V4-Flashהתמונות נוצרו באמצעות GPT Image 1.5
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל.
זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת הפיקוד והשליטה, מה שהופך את יירוט התעבורה לחסר תועלת אפילו עבור יריבים בעלי יכולת קוונטית.
שרשרת התקיפה החלה במשרות פיקטיביות בלינקדאין, הובילה להורדת תוכנת PDF מזויפת, וכללה ניצול פרצה בליבת Windows לפריסת דלת אחורית חדשה בשם Troy על גבי שרתים לגיטימיים שנחטפו.
מיקרוסופט פרסמה תיקון ב 11 באוגוסט 2026, ו CISA הורתה לכל הסוכנויות הפדרליות בארה"ב לתקן את הפרצה עד 25 באוגוסט 2026.
How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defenseAI-generated illustration of the Lazarus Group attack chain involving CVE-2026-68820, Kyber encryption, and FudModule rootkit.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defense. Article summary: I'll research this complex multi-part question thoroughly. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
בראשית 2026, קבוצת לזרוס מצפון קוריאה העצימה את מבצע "חלום עבודה" (Operation Dream Job) המתמשך שלה עם שרשרת תקיפה מתוחכמת ששילבה פרצת יום-אפס בליבת Windows עם קריפטוגרפיה פוסט-קוונטית. חוקרי צ'ק פוינט (Check Point Research) חשפו את הקמפיין ודיווחו על הפגיעות—CVE-2026-68820—למיקרוסופט, שתיקנה אותה ב-11 באוגוסט 2026 במסגרת Patch Tuesday . הקמפיין כיוון לארגוני ביטחון, תעופה וחלל ברחבי מערב אירופה, הודו וברזיל, תוך שימוש בפיתויים של משרות פיקטיביות, תוכנת PDF מזויפת, ודלת אחורית חדשה בשם Troy.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "קבוצת לזרוס ניצלה פרצת יום-אפס של Windows עם הצפנה חסינת-קוונטים כדי לפרוץ לחברות ביטחון גלובליות"?
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל.
What are the key points to validate first?
קבוצת לזרוס ניצלה את פרצת יום האפס CVE 2026 68820, מסוג use after free race condition בדרייבר AFD.sys של Windows, כדי להשיג הרשאות SYSTEM ולפרוס את rootkit FudModule בגרסה משודרגת נגד חברות ביטחון, תעופה וחלל. זו הפעם הראשונה שבה קבוצת לזרוס משתמשת בהצפנה פוסט קוונטית (Kyber/ML KEM) כדי להגן על ערוץ התקשורת עם שרת הפיקוד והשליטה, מה שהופך את יירוט התעבורה לחסר תועלת אפילו עבור יריבים בעלי יכולת קוונטית.
What should I do next in practice?
שרשרת התקיפה החלה במשרות פיקטיביות בלינקדאין, הובילה להורדת תוכנת PDF מזויפת, וכללה ניצול פרצה בליבת Windows לפריסת דלת אחורית חדשה בשם Troy על גבי שרתים לגיטימיים שנחטפו.
לזרוס מנהלת את מבצע "חלום עבודה" מאז 2020, אבל בגל הזה הוכנסו שלושה שדרוגים טכנולוגיים משמעותיים :
פרצת יום-אפס לא ידועה של Windows (CVE-2026-68820) בדרייבר AFD.sys
החלפת מפתח פוסט-קוונטית באמצעות Kyber/ML-KEM להצפנת תעבורת הפיקוד והשליטה
דלת אחורית מודולרית חדשה בשם Troy, המתקשרת דרך שרתים לגיטימיים שנחטפו
שרשרת התקיפה, צעד אחר צעד
1. הנדסה חברתית באמצעות הצעות עבודה מזויפות
קורבנות נוצלו בלינקדאין ובפלטפורמות מקצועיות אחרות על ידי מפעילים שהתחזו למגייסים מחברת לוקהיד מרטין ומחברת הפרטיות Enveil. המטרות קיבלו תיאור משרה וקישור להורדת "חומרי ראיון". נעשה שימוש בשתי שרשראות הדבקה מקבילות :
שרשרת A (הטענת DLL צדדית): הקורבן הוריד ארכיון ZIP שהכיל קובץ הפעלה לגיטימי של מציג PDF חתום דיגיטלית, DLL זדוני (libmupdf.dll), ומטען מוצפן בסיומת .pdf.enc. כאשר הופעל מציג ה-PDF, הוא טען את ה-DLL הזדוני, שהציג קובץ PDF-הטעיה תוך כדי פענוח והפעלה שקטה של המטען הזדוני .
שרשרת B (תוכנת PDF מזויפת): הקורבן הוריד יישום מזויף בשם SecurityPDF, שהתחזה למציג PDF לגיטימי המבוסס על MuPDF. היישום המזויף נראה לגיטימי אך טען קוד זדוני בעת פתיחת קובץ PDF שהוכן במיוחד .
2. הצפנה פוסט-קוונטית מגנה על ערוץ הפיקוד
לאחר שהופעל מטען ההתחלתי, הוא פרש מודול לאיסוף מידע על המערכת שיצר קשר עם שרת הפיקוד וביקש ארבעה מפתחות ציבוריים. המודול השתמש ב-Kyber / ML-KEM—מנגנון עטיפת המפתח הפוסט-קוונטי הסטנדרטי של NIST—כדי ליצור חומר מפתח חדש, לעטוף סוד משותף, ולשלוח את התוצאה בחזרה לשרת לפני שביקש את מטען הניצול בפועל .
זו הייתה הפעם המתועדת הראשונה שבה קבוצת לזרוס השתמשה בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול. הטכניקה הבטיחה שגם אם תעבורת הרשת תיורט, לא ניתן יהיה לפענח את ערוץ הפיקוד, אפילו על ידי יריבים בעלי יכולת קוונטית .
3. יום-האפס: CVE-2026-68820 ב-AFD.sys
המטען שהועבר ניצל את CVE-2026-68820, פגיעות use-after-free מסוג race condition ב-afd.sys, דרייבר ה-Ancillary Function Driver של Windows המטפל בפעולות Winsock בליבת המערכת . פרטים טכניים עיקריים:
ציון CVSS: 7.0 (גבוה)
תנאי מוקדם: התוקף נזקק כבר להרצת קוד מקומית מהמטען ההתחלתי
מנגנון ניצול: היה צורך לנצח ב-race condition כדי לשחרר בהצלחה ולשחזר זיכרון בליבה, ולאפשר לתוקף לשחית אובייקטים בליבה ולהשיג הרחבת הרשאות מקומית ל-SYSTEM
וקטור חוזר: זהו אותו דרייבר (AFD.sys) שבו קבוצת לזרוס ניצלה לפחות בארבעה קמפיינים קודמים מאז 2022, מה שהופך אותו למשטח תקיפה חוזר .
4. פריסת Rootkit ליבת FudModule
לאחר השגת הרשאות SYSTEM, הניצול פרס גרסה משודרגת של FudModule, rootkit ליבת המערכת החתימה של לזרוס . גרסה זו—המכונה לעיתים FudModule v3.1—תמכה בבנייני Windows 11 26100 ו-26200 . FudModule פעל עם גישה מלאה לליבה כדי:
לנטרל כלי זיהוי ותגובה בקצה (EDR) ברמת הליבה
לסנוור מוצרי אבטחה על ידי חבלה ב-callbacks של הליבה ובניטור תהליכים
לקבוע נוכחות מתמשכת ולטעון דלתות אחוריות מודולריות נוספות, כולל MISTPEN וה-Troy החדשה
5. דלת אחורית Troy ותשתית שנחטפה
השלב הסופי השתמש בדלת האחורית Troy, כלי גישה מרחוק מודולרי שתועד לאחרונה. תשתית הפקודות שלו נבנתה כמעט כולה משרתים לגיטימיים שנחטפו—התוקפים לא בנו תשתית משלהם אלא פרצו לשרתים של ארגונים אחרים .
מדינות ומגזרים שאליהם כוונו התקיפות
קטגוריה
פרטים
מגזרים ממוקדים
ביטחון, תעופה וחלל
מדינות מאומתות
צרפת, גרמניה (מערב אירופה), הודו, ברזיל
ציר זמן
התקיפות פעילות לפחות מאז תחילת יולי 2026, עם ניצול שנצפה כבר ביוני
צעדי תגובה ומיתון
התיקון של מיקרוסופט
מיקרוסופט פרסמה תיקון ב-11 באוגוסט 2026 (Patch Tuesday), שתיקן 398 CVEs, כולל CVE-2026-68820
התיקון הגיע בעקבות גילוי אחראי של חוקרי צ'ק פוינט, שזיהו את ניצול יום-האפס ודיווחו עליו למיקרוסופט
מיקרוסופט סימנה את CVE-2026-68820 כפגיעות היחידה שנוצלה באופן פעיל באותו חודש
הוראת החירום של CISA
הסוכנות לאבטחת סייבר ותשתיות (CISA) פרסמה הוראת חירום מחייבת שמורה על כל סוכנויות הרשות המבצעת האזרחית הפדרלית (FCEB) בארה"ב לתקן את CVE-2026-68820
לסוכנויות ניתן מועד אחרון של 25 באוגוסט 2026 להחיל את התיקון
CISA הוסיפה את הפגיעות לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה, המחייב פעולה מצד כל הארגונים הפדרליים וממליץ על פעולה מצד כל הארגונים במגזר הפרטי
פעולות מומלצות לארגונים
יש להחיל את עדכוני Patch Tuesday של מיקרוסופט מאוגוסט 2026 באופן מיידי, תוך עדיפות ל-CVE-2026-68820
יש לנטר פעילות חריגה של AFD.sys, טעינת דרייברים לא צפויה בליבה, וחבלה בכלי EDR
יש לחנך עובדים על פיתויים של מגייסים מזויפים ועל תוכנות צפייה ב-PDF מזויפות
יש ליישם זיהוי ברשת של תעבורת החלפת מפתחות Kyber/ML-KEM בערוצים לא צפויים
למה זה חשוב
קמפיין זה מייצג הסלמה ברמת התחכום מצד שחקן איום בחסות מדינה שהוא ממילא אחד הפוריים ביותר. השימוש בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול מעיד על כך שלזרוס גם מנטרת יכולות הגנה וגם משקיעה בחיזוק עמידות עתידית של פעולותיה. הפגיעה החוזרת באותו דרייבר AFD.sys—שנוצל לפחות ארבע פעמים מאז 2022—מדגישה משטח פגיעות מתמשך בליבת Windows שמיקרוסופט ממשיכה לתקן בצורה תגובתית .
לזרוס מנהלת את מבצע "חלום עבודה" מאז 2020, אבל בגל הזה הוכנסו שלושה שדרוגים טכנולוגיים משמעותיים :
פרצת יום-אפס לא ידועה של Windows (CVE-2026-68820) בדרייבר AFD.sys
החלפת מפתח פוסט-קוונטית באמצעות Kyber/ML-KEM להצפנת תעבורת הפיקוד והשליטה
דלת אחורית מודולרית חדשה בשם Troy, המתקשרת דרך שרתים לגיטימיים שנחטפו
שרשרת התקיפה, צעד אחר צעד
1. הנדסה חברתית באמצעות הצעות עבודה מזויפות
קורבנות נוצלו בלינקדאין ובפלטפורמות מקצועיות אחרות על ידי מפעילים שהתחזו למגייסים מחברת לוקהיד מרטין ומחברת הפרטיות Enveil. המטרות קיבלו תיאור משרה וקישור להורדת "חומרי ראיון". נעשה שימוש בשתי שרשראות הדבקה מקבילות :
שרשרת A (הטענת DLL צדדית): הקורבן הוריד ארכיון ZIP שהכיל קובץ הפעלה לגיטימי של מציג PDF חתום דיגיטלית, DLL זדוני (libmupdf.dll), ומטען מוצפן בסיומת .pdf.enc. כאשר הופעל מציג ה-PDF, הוא טען את ה-DLL הזדוני, שהציג קובץ PDF-הטעיה תוך כדי פענוח והפעלה שקטה של המטען הזדוני .
שרשרת B (תוכנת PDF מזויפת): הקורבן הוריד יישום מזויף בשם SecurityPDF, שהתחזה למציג PDF לגיטימי המבוסס על MuPDF. היישום המזויף נראה לגיטימי אך טען קוד זדוני בעת פתיחת קובץ PDF שהוכן במיוחד .
2. הצפנה פוסט-קוונטית מגנה על ערוץ הפיקוד
לאחר שהופעל מטען ההתחלתי, הוא פרש מודול לאיסוף מידע על המערכת שיצר קשר עם שרת הפיקוד וביקש ארבעה מפתחות ציבוריים. המודול השתמש ב-Kyber / ML-KEM—מנגנון עטיפת המפתח הפוסט-קוונטי הסטנדרטי של NIST—כדי ליצור חומר מפתח חדש, לעטוף סוד משותף, ולשלוח את התוצאה בחזרה לשרת לפני שביקש את מטען הניצול בפועל .
זו הייתה הפעם המתועדת הראשונה שבה קבוצת לזרוס השתמשה בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול. הטכניקה הבטיחה שגם אם תעבורת הרשת תיורט, לא ניתן יהיה לפענח את ערוץ הפיקוד, אפילו על ידי יריבים בעלי יכולת קוונטית .
3. יום-האפס: CVE-2026-68820 ב-AFD.sys
המטען שהועבר ניצל את CVE-2026-68820, פגיעות use-after-free מסוג race condition ב-afd.sys, דרייבר ה-Ancillary Function Driver של Windows המטפל בפעולות Winsock בליבת המערכת . פרטים טכניים עיקריים:
ציון CVSS: 7.0 (גבוה)
תנאי מוקדם: התוקף נזקק כבר להרצת קוד מקומית מהמטען ההתחלתי
מנגנון ניצול: היה צורך לנצח ב-race condition כדי לשחרר בהצלחה ולשחזר זיכרון בליבה, ולאפשר לתוקף לשחית אובייקטים בליבה ולהשיג הרחבת הרשאות מקומית ל-SYSTEM
וקטור חוזר: זהו אותו דרייבר (AFD.sys) שבו קבוצת לזרוס ניצלה לפחות בארבעה קמפיינים קודמים מאז 2022, מה שהופך אותו למשטח תקיפה חוזר .
4. פריסת Rootkit ליבת FudModule
לאחר השגת הרשאות SYSTEM, הניצול פרס גרסה משודרגת של FudModule, rootkit ליבת המערכת החתימה של לזרוס . גרסה זו—המכונה לעיתים FudModule v3.1—תמכה בבנייני Windows 11 26100 ו-26200 . FudModule פעל עם גישה מלאה לליבה כדי:
לנטרל כלי זיהוי ותגובה בקצה (EDR) ברמת הליבה
לסנוור מוצרי אבטחה על ידי חבלה ב-callbacks של הליבה ובניטור תהליכים
לקבוע נוכחות מתמשכת ולטעון דלתות אחוריות מודולריות נוספות, כולל MISTPEN וה-Troy החדשה
5. דלת אחורית Troy ותשתית שנחטפה
השלב הסופי השתמש בדלת האחורית Troy, כלי גישה מרחוק מודולרי שתועד לאחרונה. תשתית הפקודות שלו נבנתה כמעט כולה משרתים לגיטימיים שנחטפו—התוקפים לא בנו תשתית משלהם אלא פרצו לשרתים של ארגונים אחרים .
מדינות ומגזרים שאליהם כוונו התקיפות
קטגוריה
פרטים
מגזרים ממוקדים
ביטחון, תעופה וחלל
מדינות מאומתות
צרפת, גרמניה (מערב אירופה), הודו, ברזיל
ציר זמן
התקיפות פעילות לפחות מאז תחילת יולי 2026, עם ניצול שנצפה כבר ביוני
צעדי תגובה ומיתון
התיקון של מיקרוסופט
מיקרוסופט פרסמה תיקון ב-11 באוגוסט 2026 (Patch Tuesday), שתיקן 398 CVEs, כולל CVE-2026-68820
התיקון הגיע בעקבות גילוי אחראי של חוקרי צ'ק פוינט, שזיהו את ניצול יום-האפס ודיווחו עליו למיקרוסופט
מיקרוסופט סימנה את CVE-2026-68820 כפגיעות היחידה שנוצלה באופן פעיל באותו חודש
הוראת החירום של CISA
הסוכנות לאבטחת סייבר ותשתיות (CISA) פרסמה הוראת חירום מחייבת שמורה על כל סוכנויות הרשות המבצעת האזרחית הפדרלית (FCEB) בארה"ב לתקן את CVE-2026-68820
לסוכנויות ניתן מועד אחרון של 25 באוגוסט 2026 להחיל את התיקון
CISA הוסיפה את הפגיעות לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה, המחייב פעולה מצד כל הארגונים הפדרליים וממליץ על פעולה מצד כל הארגונים במגזר הפרטי
פעולות מומלצות לארגונים
יש להחיל את עדכוני Patch Tuesday של מיקרוסופט מאוגוסט 2026 באופן מיידי, תוך עדיפות ל-CVE-2026-68820
יש לנטר פעילות חריגה של AFD.sys, טעינת דרייברים לא צפויה בליבה, וחבלה בכלי EDR
יש לחנך עובדים על פיתויים של מגייסים מזויפים ועל תוכנות צפייה ב-PDF מזויפות
יש ליישם זיהוי ברשת של תעבורת החלפת מפתחות Kyber/ML-KEM בערוצים לא צפויים
למה זה חשוב
קמפיין זה מייצג הסלמה ברמת התחכום מצד שחקן איום בחסות מדינה שהוא ממילא אחד הפוריים ביותר. השימוש בהצפנה פוסט-קוונטית כדי להגן על אספקת ניצול מעיד על כך שלזרוס גם מנטרת יכולות הגנה וגם משקיעה בחיזוק עמידות עתידית של פעולותיה. הפגיעה החוזרת באותו דרייבר AFD.sys—שנוצל לפחות ארבע פעמים מאז 2022—מדגישה משטח פגיעות מתמשך בליבת Windows שמיקרוסופט ממשיכה לתקן בצורה תגובתית .
research.checkpoint.comShattering the Dream - When a Job Offer Becomes a Zero-Day Attack - Check Point Research
thehackernews.comLazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
securityaffairs.comNorth Korean Lazarus Group Uses Windows Zero-Day in ...
securityweek.comFresh Windows Zero-Day Exploited in North Korean ...