Apa yang Membuat Serangan Ini Berbeda

Lazarus telah menjalankan Operation Dream Job sejak 2020, tetapi gelombang ini memperkenalkan tiga peningkatan teknis signifikan :

1. Zero-day Windows yang sebelumnya tidak diketahui (CVE-2026-68820) di driver AFD.sys
2. Pertukaran kunci pasca-kuantum menggunakan Kyber/ML-KEM untuk mengenkripsi lalu lintas komando dan kontrol
3. Backdoor modular baru bernama Troy, yang berkomunikasi melalui server sah yang dibajak

Rantai Serangan, Langkah demi Langkah

1. Rekayasa Sosial melalui Tawaran Pekerjaan Palsu

Korban dihubungi melalui LinkedIn dan platform profesional lainnya oleh operator yang menyamar sebagai perekrut dari Lockheed Martin dan perusahaan teknologi privasi Enveil . Target menerima deskripsi pekerjaan dan tautan untuk mengunduh "materi wawancara." Dua rantai infeksi paralel digunakan :

• Rantai A (DLL sideloading): Korban mengunduh arsip ZIP yang berisi file eksekusi PDF viewer yang sah dan ditandatangani secara digital, sebuah DLL berbahaya (libmupdf.dll), dan muatan terenkripsi dengan ekstensi .pdf.enc. Saat dijalankan, PDF viewer memuat DLL berbahaya, yang menampilkan PDF palsu sambil diam-diam mendekripsi dan mengeksekusi muatan .
• Rantai B (PDF viewer palsu): Korban mengunduh aplikasi palsu bernama SecurityPDF, yang menyamar sebagai PDF viewer sah berbasis MuPDF. Aplikasi palsu ini tampak sah tetapi memuat kode berbahaya saat membuka PDF yang dirancang khusus .

2. Enkripsi Pasca-Kuantum Melindungi Saluran C2

Setelah loader awal dijalankan, ia menyebarkan modul fingerprinting yang menghubungi server komando dan meminta empat kunci publik. Modul tersebut menggunakan Kyber / ML-KEM—mekanisme enkapsulasi kunci pasca-kuantum yang distandarisasi oleh NIST—untuk menghasilkan materi kunci baru, mengenkapsulasi rahasia bersama, dan mengirimkan hasilnya kembali ke server sebelum meminta muatan eksploitasi yang sebenarnya .

Ini adalah penggunaan enkripsi pasca-kuantum pertama yang terdokumentasi oleh Lazarus untuk melindungi pengiriman eksploitasi. Teknik ini memastikan bahwa meskipun lalu lintas jaringan dicegat, saluran C2 tidak dapat didekripsi oleh musuh klasik maupun yang berkemampuan kuantum .

3. Zero-Day: CVE-2026-68820 di AFD.sys

Muatan yang dikirim mengeksploitasi CVE-2026-68820, sebuah kerentanan use-after-free race condition di afd.sys, driver Windows Ancillary Function Driver yang menangani operasi Winsock di kernel . Detail teknis utama meliputi:

• Skor CVSS: 7.0 (tinggi)
• Prasyarat: Penyerang sudah harus memiliki eksekusi kode lokal dari loader awal
• Mekanisme eksploitasi: Kondisi race harus dimenangkan untuk membebaskan dan mengalokasikan ulang memori kernel, memungkinkan penyerang merusak objek kernel dan mencapai eskalasi hak istimewa lokal ke SYSTEM
• Vektor berulang: Ini adalah driver yang sama (AFD.sys) yang dieksploitasi Lazarus dalam setidaknya empat kampanye sebelumnya sejak 2022, menjadikannya permukaan serangan yang berulang .

4. Penerapan Rootkit Kernel FudModule

Setelah mendapatkan hak akses SYSTEM, eksploitasi menyebarkan versi terbaru dari FudModule, rootkit kernel-mode khas milik Lazarus . Versi ini—kadang disebut FudModule v3.1—mendukung Windows 11 build 26100 dan 26200 . FudModule beroperasi dengan akses kernel penuh untuk:

• Menonaktifkan alat endpoint detection and response (EDR) di tingkat kernel
• Membutakan produk keamanan dengan merusak callback kernel dan pemantauan proses
• Membangun persistensi dan memuat backdoor modular tambahan, termasuk MISTPEN dan backdoor baru Troy

5. Backdoor Troy dan Infrastruktur yang Dibajak

Tahap akhir menggunakan backdoor Troy, alat akses jarak jauh modular yang baru didokumentasikan. Infrastruktur komandonya dibangun hampir seluruhnya dari server sah yang dibajak—penyerang tidak membangun infrastruktur mereka sendiri, melainkan mengkompromikan server organisasi lain .

Negara dan Sektor yang Ditargetkan

Mitigasi dan Tanggapan

Patch Microsoft

• Microsoft merilis perbaikan pada 11 Agustus 2026 (Patch Tuesday), menambal 398 CVE termasuk CVE-2026-68820
• Perbaikan ini mengikuti pengungkapan bertanggung jawab oleh Check Point Research, yang mengidentifikasi eksploitasi zero-day dan melaporkannya ke Microsoft
• Microsoft menandai CVE-2026-68820 sebagai satu-satunya kerentanan yang dieksploitasi secara aktif dalam rilis bulan itu

Arahan Darurat CISA

• Badan Keamanan Siber dan Infrastruktur (CISA) mengeluarkan Arahan Darurat wajib yang memerintahkan semua instansi Federal Civilian Executive Branch (FCEB) AS untuk memperbaiki CVE-2026-68820
• Instansi diberikan batas waktu hingga 25 Agustus 2026 untuk menerapkan patch
• CISA menambahkan kerentanan ini ke katalog Known Exploited Vulnerabilities (KEV), yang mewajibkan tindakan oleh semua organisasi federal dan merekomendasikan tindakan oleh semua organisasi sektor swasta

Tindakan yang Direkomendasikan untuk Organisasi

• Segera terapkan pembaruan Patch Tuesday Agustus 2026 Microsoft, prioritaskan CVE-2026-68820
• Pantau aktivitas AFD.sys yang mencurigakan, pemuatan driver kernel yang tidak terduga, dan perusakan EDR
• Edukasi karyawan tentang umpan perekrut palsu dan viewer dokumen palsu
• Terapkan deteksi tingkat jaringan untuk lalu lintas pertukaran kunci Kyber/ML-KEM di saluran yang tidak terduga

Mengapa Ini Penting

Kampanye ini mewakili eskalasi kecanggihan dari aktor ancaman yang didukung negara yang sudah menjadi salah satu yang paling produktif. Penggunaan enkripsi pasca-kuantum untuk melindungi pengiriman eksploitasi menunjukkan bahwa Lazarus memantau kemampuan pertahanan dan berinvestasi dalam operasi yang tahan masa depan. Penargetan berulang pada driver AFD.sys yang sama—sekarang dieksploitasi setidaknya empat kali sejak 2022—menyoroti permukaan kerentanan yang persisten di kernel Windows yang terus ditambal Microsoft secara reaktif .

Apa yang Membuat Serangan Ini Berbeda

Lazarus telah menjalankan Operation Dream Job sejak 2020, tetapi gelombang ini memperkenalkan tiga peningkatan teknis signifikan :

1. Zero-day Windows yang sebelumnya tidak diketahui (CVE-2026-68820) di driver AFD.sys
2. Pertukaran kunci pasca-kuantum menggunakan Kyber/ML-KEM untuk mengenkripsi lalu lintas komando dan kontrol
3. Backdoor modular baru bernama Troy, yang berkomunikasi melalui server sah yang dibajak

Rantai Serangan, Langkah demi Langkah

1. Rekayasa Sosial melalui Tawaran Pekerjaan Palsu

Korban dihubungi melalui LinkedIn dan platform profesional lainnya oleh operator yang menyamar sebagai perekrut dari Lockheed Martin dan perusahaan teknologi privasi Enveil . Target menerima deskripsi pekerjaan dan tautan untuk mengunduh "materi wawancara." Dua rantai infeksi paralel digunakan :

• Rantai A (DLL sideloading): Korban mengunduh arsip ZIP yang berisi file eksekusi PDF viewer yang sah dan ditandatangani secara digital, sebuah DLL berbahaya (libmupdf.dll), dan muatan terenkripsi dengan ekstensi .pdf.enc. Saat dijalankan, PDF viewer memuat DLL berbahaya, yang menampilkan PDF palsu sambil diam-diam mendekripsi dan mengeksekusi muatan .
• Rantai B (PDF viewer palsu): Korban mengunduh aplikasi palsu bernama SecurityPDF, yang menyamar sebagai PDF viewer sah berbasis MuPDF. Aplikasi palsu ini tampak sah tetapi memuat kode berbahaya saat membuka PDF yang dirancang khusus .

2. Enkripsi Pasca-Kuantum Melindungi Saluran C2

Setelah loader awal dijalankan, ia menyebarkan modul fingerprinting yang menghubungi server komando dan meminta empat kunci publik. Modul tersebut menggunakan Kyber / ML-KEM—mekanisme enkapsulasi kunci pasca-kuantum yang distandarisasi oleh NIST—untuk menghasilkan materi kunci baru, mengenkapsulasi rahasia bersama, dan mengirimkan hasilnya kembali ke server sebelum meminta muatan eksploitasi yang sebenarnya .

Ini adalah penggunaan enkripsi pasca-kuantum pertama yang terdokumentasi oleh Lazarus untuk melindungi pengiriman eksploitasi. Teknik ini memastikan bahwa meskipun lalu lintas jaringan dicegat, saluran C2 tidak dapat didekripsi oleh musuh klasik maupun yang berkemampuan kuantum .

3. Zero-Day: CVE-2026-68820 di AFD.sys

Muatan yang dikirim mengeksploitasi CVE-2026-68820, sebuah kerentanan use-after-free race condition di afd.sys, driver Windows Ancillary Function Driver yang menangani operasi Winsock di kernel . Detail teknis utama meliputi:

• Skor CVSS: 7.0 (tinggi)
• Prasyarat: Penyerang sudah harus memiliki eksekusi kode lokal dari loader awal
• Mekanisme eksploitasi: Kondisi race harus dimenangkan untuk membebaskan dan mengalokasikan ulang memori kernel, memungkinkan penyerang merusak objek kernel dan mencapai eskalasi hak istimewa lokal ke SYSTEM
• Vektor berulang: Ini adalah driver yang sama (AFD.sys) yang dieksploitasi Lazarus dalam setidaknya empat kampanye sebelumnya sejak 2022, menjadikannya permukaan serangan yang berulang .

4. Penerapan Rootkit Kernel FudModule

Setelah mendapatkan hak akses SYSTEM, eksploitasi menyebarkan versi terbaru dari FudModule, rootkit kernel-mode khas milik Lazarus . Versi ini—kadang disebut FudModule v3.1—mendukung Windows 11 build 26100 dan 26200 . FudModule beroperasi dengan akses kernel penuh untuk:

• Menonaktifkan alat endpoint detection and response (EDR) di tingkat kernel
• Membutakan produk keamanan dengan merusak callback kernel dan pemantauan proses
• Membangun persistensi dan memuat backdoor modular tambahan, termasuk MISTPEN dan backdoor baru Troy

5. Backdoor Troy dan Infrastruktur yang Dibajak

Tahap akhir menggunakan backdoor Troy, alat akses jarak jauh modular yang baru didokumentasikan. Infrastruktur komandonya dibangun hampir seluruhnya dari server sah yang dibajak—penyerang tidak membangun infrastruktur mereka sendiri, melainkan mengkompromikan server organisasi lain .

Negara dan Sektor yang Ditargetkan

Mitigasi dan Tanggapan

Patch Microsoft

• Microsoft merilis perbaikan pada 11 Agustus 2026 (Patch Tuesday), menambal 398 CVE termasuk CVE-2026-68820
• Perbaikan ini mengikuti pengungkapan bertanggung jawab oleh Check Point Research, yang mengidentifikasi eksploitasi zero-day dan melaporkannya ke Microsoft
• Microsoft menandai CVE-2026-68820 sebagai satu-satunya kerentanan yang dieksploitasi secara aktif dalam rilis bulan itu

Arahan Darurat CISA

• Badan Keamanan Siber dan Infrastruktur (CISA) mengeluarkan Arahan Darurat wajib yang memerintahkan semua instansi Federal Civilian Executive Branch (FCEB) AS untuk memperbaiki CVE-2026-68820
• Instansi diberikan batas waktu hingga 25 Agustus 2026 untuk menerapkan patch
• CISA menambahkan kerentanan ini ke katalog Known Exploited Vulnerabilities (KEV), yang mewajibkan tindakan oleh semua organisasi federal dan merekomendasikan tindakan oleh semua organisasi sektor swasta

Tindakan yang Direkomendasikan untuk Organisasi

• Segera terapkan pembaruan Patch Tuesday Agustus 2026 Microsoft, prioritaskan CVE-2026-68820
• Pantau aktivitas AFD.sys yang mencurigakan, pemuatan driver kernel yang tidak terduga, dan perusakan EDR
• Edukasi karyawan tentang umpan perekrut palsu dan viewer dokumen palsu
• Terapkan deteksi tingkat jaringan untuk lalu lintas pertukaran kunci Kyber/ML-KEM di saluran yang tidak terduga

Mengapa Ini Penting

Kampanye ini mewakili eskalasi kecanggihan dari aktor ancaman yang didukung negara yang sudah menjadi salah satu yang paling produktif. Penggunaan enkripsi pasca-kuantum untuk melindungi pengiriman eksploitasi menunjukkan bahwa Lazarus memantau kemampuan pertahanan dan berinvestasi dalam operasi yang tahan masa depan. Penargetan berulang pada driver AFD.sys yang sama—sekarang dieksploitasi setidaknya empat kali sejak 2022—menyoroti permukaan kerentanan yang persisten di kernel Windows yang terus ditambal Microsoft secara reaktif .