उत्तरप्रकाशित30 स्रोत
लाज़रस ग्रुप का खतरनाक हमला: विंडोज़ जीरो-डे और क्वांटम-रेसिस्टेंट एन्क्रिप्शन से रक्षा कंपनियां चपेट में
लाज़रस ग्रुप ने विंडोज़ के AFD.sys ड्राइवर में CVE 2026 68820 नामक जीरो डे का शोषण कर SYSTEM विशेषाधिकार प्राप्त किए और FudModule रूटकिट तैनात की हमले में पहली बार पोस्ट क्वांटम एन्क्रिप्शन (Kyber/ML KEM) का इस्तेमाल कमांड सर्वर से संचार को सुरक्षित रखने के लिए किया गया भारत, फ्रांस, जर्मनी और ब्राजील सहित कई देशों...
शोध उत्तर
मुख्य निष्कर्ष
- लाज़रस ग्रुप ने विंडोज़ के AFD.sys ड्राइवर में CVE 2026 68820 नामक जीरो डे का शोषण कर SYSTEM विशेषाधिकार प्राप्त किए और FudModule रूटकिट तैनात की
- हमले में पहली बार पोस्ट क्वांटम एन्क्रिप्शन (Kyber/ML KEM) का इस्तेमाल कमांड सर्वर से संचार को सुरक्षित रखने के लिए किया गया
- भारत, फ्रांस, जर्मनी और ब्राजील सहित कई देशों की रक्षा, एयरोस्पेस और एविएशन कंपनियां इस हमले का निशाना बनीं
- माइक्रोसॉफ्ट ने 11 अगस्त 2026 को पैच ट्यूजडे के तहत इस खामी को ठीक किया, जबकि CISA ने अमेरिकी एजेंसियों के लिए इसे अनिवार्य रूप से लागू करने का निर्देश दिया
AI संकेत
openai.comCreate a landscape editorial hero image for this Studio Global article: How did North Korea's Lazarus Group use a Windows zero-day exploit (CVE-2026-68820) and quantum-resistant Kyber encryption to target defense. Article summary: I'll research this complex multi-part question thoroughly. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
2026 की शुरुआत में, उत्तर कोरिया का कुख्यात लाज़रस ग्रुप (Lazarus Group) अपने लंबे समय से चल रहे ऑपरेशन ड्रीम जॉब (Operation Dream Job) के तहत एक नए और बेहद खतरनाक हमले के साथ सामने आया। इस हमले में विंडोज़ कर्नेल की एक अनजानी खामी (जीरो-डे) के साथ-साथ पोस्ट-क्वांटम क्रिप्टोग्राफी का भी इस्तेमाल किया गया। चेक पॉइंट रिसर्च (Check Point Research) ने इस अभियान का पता लगाया और इस खामी को माइक्रोसॉफ्ट को सूचित किया, जिसे CVE-2026-68820 नाम दिया गया । माइक्रोसॉफ्ट ने 11 अगस्त, 2026 को अपने पैच ट्यूज़डे के तहत इस खामी को ठीक किया
। यह हमला मुख्य रूप से पश्चिमी यूरोप, भारत और ब्राज़ील में रक्षा, एयरोस्पेस और विमानन क्षेत्रों को लक्षित करके किया गया
।
क्या था इस हमले में खास?
लाज़रस ग्रुप 2020 से ऑपरेशन ड्रीम जॉब चला रहा है, लेकिन इस नई लहर में तीन बड़े तकनीकी अपग्रेड देखने को मिले :
- विंडोज़ की पहले से अज्ञात जीरो-डे खामी (CVE-2026-68820) जो AFD.sys ड्राइवर में मौजूद थी
- पोस्ट-क्वांटम की एक्सचेंज यानी Kyber/ML-KEM का इस्तेमाल कमांड एंड कंट्रोल (C2) ट्रैफिक को एन्क्रिप्ट करने के लिए
- ट्रॉय (Troy) नाम का एक नया मॉड्यूलर बैकडोर, जो हैक किए गए लीगिट सर्वरों के ज़रिए संचार करता था
हमले की पूरी प्रक्रिया, स्टेप बाई स्टेप
1. नकली नौकरी के ऑफरों से सोशल इंजीनियरिंग
पीड़ितों को लिंक्डइन और अन्य प्रोफेशनल प्लेटफॉर्म पर निशाना बनाया गया। हैकर्स ने लॉकहीड मार्टिन और प्राइवेसी-टेक फर्म एनवेल जैसी कंपनियों के रिक्रूटर बनकर संपर्क किया । लक्ष्य को नौकरी का विवरण और 'इंटरव्यू मटेरियल' डाउनलोड करने का लिंक भेजा जाता था। संक्रमण के दो समानांतर तरीके अपनाए गए
:
- चेन A (DLL साइडलोडिंग): पीड़ित ने एक ज़िप फ़ाइल डाउनलोड की जिसमें एक असली पीडीएफ व्यूअर, एक खतरनाक DLL (
libmupdf.dll), और.pdf.encएक्सटेंशन वाला एक एन्क्रिप्टेड पेलोड था। जब पीडीएफ व्यूअर चलाया गया, तो उसने खतरनाक DLL को लोड किया, जिसने एक नकली पीडीएफ दिखाते हुए गुप्त रूप से पेलोड को डिक्रिप्ट और एक्सीक्यूट कर दिया।
- चेन B (ट्रोजनाइज़्ड PDF व्यूअर): पीड़ित ने SecurityPDF नाम का एक फर्जी एप्लिकेशन डाउनलोड किया, जो म्यूपीडीएफ पर आधारित एक असली पीडीएफ व्यूअर का रूप धारण किए हुए था। यह ट्रोजनाइज्ड व्यूअर असली लगता था, लेकिन एक विशेष पीडीएफ खोलने पर खतरनाक कोड लोड कर लेता था
।
2. पोस्ट-क्वांटम एन्क्रिप्शन से C2 चैनल की सुरक्षा
एक बार जब शुरुआती लोडर चल गया, तो उसने एक फिंगरप्रिंटिंग मॉड्यूल तैनात किया जो कमांड सर्वर से संपर्क कर चार पब्लिक कीज़ का अनुरोध करता था। इस मॉड्यूल ने Kyber / ML-KEM का उपयोग किया, जो NIST द्वारा मानकीकृत एक पोस्ट-क्वांटम की एनकैप्सुलेशन मैकेनिज्म है। इसके ज़रिए नई की मटीरियल जनरेट की गई, एक साझा सीक्रेट को एनकैप्सुलेट किया गया, और परिणाम को एक्सप्लॉइट पेलोड का अनुरोध करने से पहले सर्वर को वापस भेज दिया गया ।
लाज़रस द्वारा एक्सप्लॉइट डिलीवरी को सुरक्षित रखने के लिए पोस्ट-क्वांटम एन्क्रिप्शन का यह पहला दस्तावेजी उपयोग था। इस तकनीक ने सुनिश्चित किया कि भले ही नेटवर्क ट्रैफिक को इंटरसेप्ट किया जाए, लेकिन C2 चैनल को क्लासिकल या क्वांटम-कैपेबल विरोधियों द्वारा डिक्रिप्ट नहीं किया जा सकता है ।
3. जीरो-डे खामी: AFD.sys में CVE-2026-68820
डिलीवर किए गए पेलोड ने CVE-2026-68820 का शोषण किया, जो afd.sys में एक 'यूज़-आफ्टर-फ्री' रेस कंडीशन है। afd.sys विंडोज़ का एंसिलरी फंक्शन ड्राइवर है जो कर्नेल-मोड में विंसॉक (Winsock) ऑपरेशन को हैंडल करता है । मुख्य तकनीकी विवरण इस प्रकार हैं:
- CVSS स्कोर: 7.0 (उच्च)
- पूर्व शर्त: हमलावर के पास पहले से ही शुरुआती लोडर से स्थानीय कोड निष्पादन (लोकल कोड एक्सीक्यूशन) की क्षमता होनी चाहिए थी
- शोषण तंत्र: कर्नेल मेमोरी को फ्री और रीअलोकेट करने के लिए रेस कंडीशन को जीतना आवश्यक था, जिससे हमलावर कर्नेल ऑब्जेक्ट को दूषित कर SYSTEM तक विशेषाधिकार प्राप्त कर सके
- आवर्ती वेक्टर: यह वही AFD.sys ड्राइवर था जिसे लाज़रस ने 2022 से कम से कम चार पिछले अभियानों में इस्तेमाल किया था, जो इसे एक आवर्ती हमले की सतह बनाता है
4. FudModule कर्नेल रूटकिट की तैनाती
SYSTEM विशेषाधिकार प्राप्त करने के बाद, एक्सप्लॉइट ने FudModule का एक अपग्रेडेड वर्जन तैनात किया, जो लाज़रस का सिग्नेचर कर्नेल-मोड रूटकिट है । इस वर्जन को कभी-कभी FudModule v3.1 भी कहा जाता है और यह विंडोज़ 11 बिल्ड 26100 और 26200 को सपोर्ट करता था
। FudModule पूर्ण कर्नेल एक्सेस के साथ काम करता था ताकि:
- एंडपॉइंट डिटेक्शन और रिस्पॉन्स (EDR) टूल्स को कर्नेल स्तर पर निष्क्रिय कर सके
- सुरक्षा उत्पादों को अंधा कर सके, कर्नेल कॉलबैक और प्रोसेस मॉनिटरिंग के साथ छेड़छाड़ करके
- स्थिरता स्थापित कर सके और MISTPEN और नए Troy बैकडोर सहित अतिरिक्त मॉड्यूलर बैकडोर लोड कर सके
5. ट्रॉय बैकडोर और हैक किया गया इंफ्रास्ट्रक्चर
अंतिम चरण में ट्रॉय बैकडोर का इस्तेमाल किया गया, जो एक नव दस्तावेजीकृत मॉड्यूलर रिमोट एक्सेस टूल है। इसका कमांड इंफ्रास्ट्रक्चर लगभग पूरी तरह से हैक किए गए लीगिट सर्वरों पर बनाया गया था—हमलावरों ने अपना खुद का इंफ्रास्ट्रक्चर नहीं बनाया, बल्कि अन्य संगठनों के सर्वरों से समझौता किया ।
प्रभावित देश और क्षेत्र
| श्रेणी | विवरण |
|---|---|
| लक्षित क्षेत्र | रक्षा, एयरोस्पेस, विमानन |
| पुष्टि किए गए देश | फ्रांस, जर्मनी (पश्चिमी यूरोप), भारत, ब्राजील |
| समयरेखा | हमले कम से कम जुलाई 2026 की शुरुआत से सक्रिय थे, जून में शोषण देखा गया |
रोकथाम और प्रतिक्रिया
माइक्रोसॉफ्ट का पैच
- माइक्रोसॉफ्ट ने 11 अगस्त, 2026 (पैच ट्यूज़डे) को CVE-2026-68820 सहित कुल 398 CVEs को ठीक करने वाला अपडेट जारी किया
- यह फिक्स चेक पॉइंट रिसर्च द्वारा जिम्मेदाराना खुलासे (रिस्पॉन्सिबल डिस्क्लोज़र) के बाद आया, जिसने जीरो-डे के शोषण की पहचान की और माइक्रोसॉफ्ट को सूचित किया
- माइक्रोसॉफ्ट ने CVE-2026-68820 को उस महीने के अपडेट में एकमात्र सक्रिय रूप से शोषित कमजोरी के रूप में चिह्नित किया
CISA का आपातकालीन निर्देश
- अमेरिकी साइबर सिक्योरिटी और इंफ्रास्ट्रक्चर सिक्योरिटी एजेंसी (CISA) ने सभी अमेरिकी संघीय नागरिक कार्यकारी शाखा (FCEB) एजेंसियों को CVE-2026-68820 को ठीक करने का अनिवार्य आपातकालीन निर्देश जारी किया
- एजेंसियों को पैच लागू करने के लिए 25 अगस्त, 2026 तक की समय सीमा दी गई थी
- CISA ने इस कमजोरी को अपने ज्ञात शोषित कमजोरियों (KEV) कैटलॉग में जोड़ा, जिसमें सभी संघीय संगठनों के लिए कार्रवाई अनिवार्य और निजी क्षेत्र के संगठनों के लिए अनुशंसित है
संगठनों के लिए अनुशंसित कार्रवाइयाँ
- माइक्रोसॉफ्ट के अगस्त 2026 के पैच ट्यूज़डे अपडेट तुरंत लागू करें, CVE-2026-68820 को प्राथमिकता दें
- असामान्य AFD.sys गतिविधि, अनपेक्षित कर्नेल ड्राइवर लोड और EDR छेड़छाड़ की निगरानी करें
- कर्मचारियों को नकली रिक्रूटर लालच और ट्रोजनाइज़्ड डॉक्यूमेंट व्यूअर के बारे में शिक्षित करें
- अप्रत्याशित चैनलों पर Kyber/ML-KEM की एक्सचेंज ट्रैफिक के लिए नेटवर्क-स्तरीय पहचान लागू करें
यह क्यों मायने रखता है
यह अभियान एक राज्य-प्रायोजित खतरे वाले अभिनेता की ओर से सोफिस्टिकेशन में एक बढ़ोतरी को दर्शाता है, जो पहले से ही सबसे विपुल में से एक है। एक्सप्लॉइट डिलीवरी को सुरक्षित रखने के लिए पोस्ट-क्वांटम एन्क्रिप्शन का उपयोग बताता है कि लाज़रस रक्षात्मक क्षमताओं की निगरानी कर रहा है और अपने संचालन को भविष्य-प्रूफ बनाने में निवेश कर रहा है। एक ही AFD.sys ड्राइवर को बार-बार निशाना बनाना—जिसका 2022 से कम से कम चार बार शोषण किया जा चुका है—विंडोज़ कर्नेल में एक लगातार कमजोर सतह को उजागर करता है, जिसे माइक्रोसॉफ्ट प्रतिक्रियात्मक रूप से पैच करता रहा है ।
Studio Global AI
अपना शोध जारी रखें
इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।
लोग पूछते भी हैं
"लाज़रस ग्रुप का खतरनाक हमला: विंडोज़ जीरो-डे और क्वांटम-रेसिस्टेंट एन्क्रिप्शन से रक्षा कंपनियां चपेट में" का संक्षिप्त उत्तर क्या है?
लाज़रस ग्रुप ने विंडोज़ के AFD.sys ड्राइवर में CVE 2026 68820 नामक जीरो डे का शोषण कर SYSTEM विशेषाधिकार प्राप्त किए और FudModule रूटकिट तैनात की
सबसे पहले सत्यापित करने योग्य मुख्य बिंदु क्या हैं?
लाज़रस ग्रुप ने विंडोज़ के AFD.sys ड्राइवर में CVE 2026 68820 नामक जीरो डे का शोषण कर SYSTEM विशेषाधिकार प्राप्त किए और FudModule रूटकिट तैनात की हमले में पहली बार पोस्ट क्वांटम एन्क्रिप्शन (Kyber/ML KEM) का इस्तेमाल कमांड सर्वर से संचार को सुरक्षित रखने के लिए किया गया
मुझे अभ्यास में आगे क्या करना चाहिए?
भारत, फ्रांस, जर्मनी और ब्राजील सहित कई देशों की रक्षा, एयरोस्पेस और एविएशन कंपनियां इस हमले का निशाना बनीं
सूत्र
- theregister.com421 bugs in Microsoft's Patch Tuesday release, and ...
- research.checkpoint.comShattering the Dream - When a Job Offer Becomes a Zero-Day Attack - Check Point Research
- thehackernews.comLazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor
- securityaffairs.comNorth Korean Lazarus Group Uses Windows Zero-Day in ...
- securityweek.comFresh Windows Zero-Day Exploited in North Korean ...
- daily.devLazarus Group's Operation Dream Job used a Windows... - daily.dev
- byteiota.comLazarus Group Exploited a Windows Kernel Zero-Day for Five ...
- yusmpgroup.comAugust 2026 Patch Tuesday: Lazarus WinSock Zero-Day | YuSMP
- cyberpress.orgHackers Weaponize Job Offers With Zero-Day Exploit to ...
- f4n6.co.ukCISA gives federal agencies two weeks to patch Microsoft bug ...
- helpnetsecurity.comLazarus hackers pair fake job offers with Windows zero- ...
- gbhackers.comWindows AFD.sys Zero-Day Exploited by Lazarus Hackers to Gain SYSTEM Access
- infosecurity-magazine.comLazarus Used Post-Quantum Key Exchange to Deliver ...
- webpronews.comNorth Korean Hackers Turn Quantum-Resistant Crypto Against Defenders in Zero-Day Campaign
- obiguard.aiAugust 2026 Patch Tuesday: 398 CVEs, 1 Zero-Day
- daily.devLazarus hackers exploited Windows zero-day to target...
- thehackernews.comMicrosoft Patches 398 Flaws Including a Windows Driver Zero-Day Under Active Attack
- techtimes.comNorth Korea Hacked Defense Firms Four Times via Same Windows Driver; Patch Now
- cybersecuritynews.comWindows AFD.sys 0-Day Actively Exploited by Lazarus Hackers ...
- codekeeper.coNorth Korea's Lazarus Group Exploits Windows Kernel Zero-Day to ...
- f4n6.co.ukFresh Windows Zero-Day Exploited in North Korean ... - f4n6
- brinztech.comCISA Mandates Emergency Patching for Windows Winsock Zero ...
- sofx.comNorth Korea's Lazarus Hides Windows Zero-Day Behind ...
- detections.aiLazarus Exploits Windows Zero-Day in Operation Dream Job
- mangodeveloper.comLazarus Group Uses Zero Day Vulnerability to Target Defense ...
- f4n6.co.ukShattering the Dream – When a Job Offer Becomes a Zero-Day Attack
- blog.checkpoint.comState Sponsored Hackers Use Fake Job Offers to Deliver ...
- socprime.comCVE-2026-68820: Windows AFD.sys Zero-Day
- lazarus.dayShattering the Dream – When a Job Offer Becomes a Zero- ...
- netbe.plWindows AFD.sys Zero-Day CVE-2026-68820 Exploited by Lazarus ...