Cosa ha reso diverso questo attacco

Lazarus conduce l'Operation Dream Job dal 2020, ma questa ondata ha introdotto tre significativi aggiornamenti tecnici :

1. Un zero-day Windows precedentemente sconosciuto (CVE-2026-68820) nel driver AFD.sys
2. Scambio di chiavi post-quantistico utilizzando Kyber/ML-KEM per crittografare il traffico di comando e controllo
3. Un nuovo backdoor modulare chiamato Troy, che comunica tramite server legittimi dirottati

La catena d'attacco, passo dopo passo

1. Ingegneria sociale tramite finte offerte di lavoro

Le vittime sono state contattate su LinkedIn e altre piattaforme professionali da operatori che si fingevano reclutatori di Lockheed Martin e dell'azienda di privacy-tech Enveil . Ai target veniva inviata una descrizione del lavoro e un link per scaricare "materiali per il colloquio". Sono state utilizzate due catene d'infezione parallele :

• Catena A (DLL sideloading): La vittima scaricava un archivio ZIP contenente un eseguibile legittimo di un visualizzatore PDF firmato digitalmente, una DLL dannosa (libmupdf.dll) e un payload crittografato con estensione .pdf.enc. All'avvio, il visualizzatore PDF caricava la DLL dannosa, che mostrava un PDF fittizio mentre decrittografava silenziosamente ed eseguiva il payload .
• Catena B (Visualizzatore PDF troianizzato): La vittima scaricava un'applicazione falsa chiamata SecurityPDF, che si spacciava per un visualizzatore PDF legittimo basato su MuPDF. Questo visualizzatore sembrava autentico ma caricava codice dannoso all'apertura di un PDF appositamente predisposto .

2. Crittografia post-quantistica a protezione del canale C2

Una volta eseguito il caricatore iniziale, questo distribuiva un modulo di fingerprinting che contattava il server di comando e richiedeva quattro chiavi pubbliche. Il modulo utilizzava Kyber / ML-KEM—il meccanismo di incapsulamento delle chiavi post-quantistico standardizzato dal NIST—per generare nuovo materiale crittografico, incapsulare un segreto condiviso e inviare il risultato al server prima di richiedere il payload dell'exploit vero e proprio .

Questo è stato il primo uso documentato di crittografia post-quantistica da parte di Lazarus per proteggere la distribuzione dell'exploit. La tecnica garantiva che, anche se il traffico di rete fosse stato intercettato, il canale C2 non potesse essere decifrato da avversari con capacità classiche o quantistiche .

3. Lo zero-day: CVE-2026-68820 in AFD.sys

Il payload consegnato sfruttava la CVE-2026-68820, una race condition use-after-free in afd.sys, il driver delle funzioni ancillari di Windows (Ancillary Function Driver) che gestisce le operazioni Winsock in modalità kernel . I dettagli tecnici chiave includono:

• Punteggio CVSS: 7.0 (alto)
• Precondizione: L'attaccante doveva già avere esecuzione di codice locale dal caricatore iniziale
• Meccanismo di sfruttamento: La race condition doveva essere vinta per liberare e riallocare con successo la memoria del kernel, consentendo all'attaccante di corrompere oggetti del kernel e ottenere l'escalation dei privilegi locali a SYSTEM
• Vettore ricorrente: Questo era lo stesso driver (AFD.sys) che Lazarus aveva abusato in almeno quattro campagne precedenti a partire dal 2022, rendendolo una superficie d'attacco ricorrente .

4. Distribuzione del rootkit kernel FudModule

Dopo aver ottenuto i privilegi SYSTEM, l'exploit distribuiva una versione aggiornata di FudModule, il rootkit kernel di Lazarus . Questa versione—a volte etichettata come FudModule v3.1—supportava Windows 11 build 26100 e 26200 . FudModule operava con accesso completo al kernel per:

• Disabilitare gli strumenti di endpoint detection and response (EDR) a livello di kernel
• Accecare i prodotti di sicurezza alterando i callback del kernel e il monitoraggio dei processi
• Stabilire la persistenza e caricare backdoor modulari aggiuntivi, tra cui MISTPEN e il nuovo Troy

5. Backdoor Troy e infrastruttura dirottata

La fase finale utilizzava il backdoor Troy, uno strumento di accesso remoto modulare recentemente documentato. La sua infrastruttura di comando era costruita quasi interamente su server legittimi dirottati—gli attaccanti non hanno costruito una propria infrastruttura, ma hanno compromesso i server di altre organizzazioni .

Paesi e settori presi di mira

Mitigazione e risposta

La patch di Microsoft

• Microsoft ha rilasciato una correzione il 12 agosto 2026 (Patch Tuesday), correggendo 398 CVE inclusa la CVE-2026-68820
• La correzione è seguita alla divulgazione responsabile da parte di Check Point Research, che ha identificato lo sfruttamento dello zero-day e lo ha segnalato a Microsoft
• Microsoft ha segnalato la CVE-2026-68820 come l'unica vulnerabilità attivamente sfruttata in quel rilascio mensile

Direttiva d'emergenza CISA

• La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha emesso una direttiva d'emergenza obbligatoria ordinando a tutte le agenzie del ramo esecutivo civile federale (FCEB) di correggere la CVE-2026-68820
• Alle agenzie è stata concessa una scadenza entro il 25 agosto 2026 per applicare la patch
• CISA ha aggiunto la vulnerabilità al suo catalogo Known Exploited Vulnerabilities (KEV), richiedendo un intervento a tutte le organizzazioni federali e raccomandandolo a tutte le organizzazioni del settore privato

Azioni raccomandate per le organizzazioni

• Applicare immediatamente gli aggiornamenti del Patch Tuesday di agosto 2026 di Microsoft, dando priorità alla CVE-2026-68820
• Monitorare attività anomale di AFD.sys, caricamenti imprevisti di driver del kernel e manomissioni degli EDR
• Formare i dipendenti sui messaggi di reclutamento falsi e sui visualizzatori di documenti troianizzati
• Implementare il rilevamento a livello di rete per il traffico di scambio di chiavi Kyber/ML-KEM su canali inaspettati

Perché questo è importante

Questa campagna rappresenta un'escalation nella sofisticazione da parte di un attore sponsorizzato da uno stato che è già uno dei più prolifici. L'uso della crittografia post-quantistica per proteggere la distribuzione degli exploit suggerisce che Lazarus sta sia monitorando le capacità difensive sia investendo nel rendere le proprie operazioni a prova di futuro. Il ripetuto targeting dello stesso driver AFD.sys—ora sfruttato almeno quattro volte dal 2022—evidenzia una superficie di vulnerabilità persistente nel kernel Windows che Microsoft continua a correggere in modo reattivo .

Cosa ha reso diverso questo attacco

Lazarus conduce l'Operation Dream Job dal 2020, ma questa ondata ha introdotto tre significativi aggiornamenti tecnici :

1. Un zero-day Windows precedentemente sconosciuto (CVE-2026-68820) nel driver AFD.sys
2. Scambio di chiavi post-quantistico utilizzando Kyber/ML-KEM per crittografare il traffico di comando e controllo
3. Un nuovo backdoor modulare chiamato Troy, che comunica tramite server legittimi dirottati

La catena d'attacco, passo dopo passo

1. Ingegneria sociale tramite finte offerte di lavoro

Le vittime sono state contattate su LinkedIn e altre piattaforme professionali da operatori che si fingevano reclutatori di Lockheed Martin e dell'azienda di privacy-tech Enveil . Ai target veniva inviata una descrizione del lavoro e un link per scaricare "materiali per il colloquio". Sono state utilizzate due catene d'infezione parallele :

• Catena A (DLL sideloading): La vittima scaricava un archivio ZIP contenente un eseguibile legittimo di un visualizzatore PDF firmato digitalmente, una DLL dannosa (libmupdf.dll) e un payload crittografato con estensione .pdf.enc. All'avvio, il visualizzatore PDF caricava la DLL dannosa, che mostrava un PDF fittizio mentre decrittografava silenziosamente ed eseguiva il payload .
• Catena B (Visualizzatore PDF troianizzato): La vittima scaricava un'applicazione falsa chiamata SecurityPDF, che si spacciava per un visualizzatore PDF legittimo basato su MuPDF. Questo visualizzatore sembrava autentico ma caricava codice dannoso all'apertura di un PDF appositamente predisposto .

2. Crittografia post-quantistica a protezione del canale C2

Una volta eseguito il caricatore iniziale, questo distribuiva un modulo di fingerprinting che contattava il server di comando e richiedeva quattro chiavi pubbliche. Il modulo utilizzava Kyber / ML-KEM—il meccanismo di incapsulamento delle chiavi post-quantistico standardizzato dal NIST—per generare nuovo materiale crittografico, incapsulare un segreto condiviso e inviare il risultato al server prima di richiedere il payload dell'exploit vero e proprio .

Questo è stato il primo uso documentato di crittografia post-quantistica da parte di Lazarus per proteggere la distribuzione dell'exploit. La tecnica garantiva che, anche se il traffico di rete fosse stato intercettato, il canale C2 non potesse essere decifrato da avversari con capacità classiche o quantistiche .

3. Lo zero-day: CVE-2026-68820 in AFD.sys

Il payload consegnato sfruttava la CVE-2026-68820, una race condition use-after-free in afd.sys, il driver delle funzioni ancillari di Windows (Ancillary Function Driver) che gestisce le operazioni Winsock in modalità kernel . I dettagli tecnici chiave includono:

• Punteggio CVSS: 7.0 (alto)
• Precondizione: L'attaccante doveva già avere esecuzione di codice locale dal caricatore iniziale
• Meccanismo di sfruttamento: La race condition doveva essere vinta per liberare e riallocare con successo la memoria del kernel, consentendo all'attaccante di corrompere oggetti del kernel e ottenere l'escalation dei privilegi locali a SYSTEM
• Vettore ricorrente: Questo era lo stesso driver (AFD.sys) che Lazarus aveva abusato in almeno quattro campagne precedenti a partire dal 2022, rendendolo una superficie d'attacco ricorrente .

4. Distribuzione del rootkit kernel FudModule

Dopo aver ottenuto i privilegi SYSTEM, l'exploit distribuiva una versione aggiornata di FudModule, il rootkit kernel di Lazarus . Questa versione—a volte etichettata come FudModule v3.1—supportava Windows 11 build 26100 e 26200 . FudModule operava con accesso completo al kernel per:

• Disabilitare gli strumenti di endpoint detection and response (EDR) a livello di kernel
• Accecare i prodotti di sicurezza alterando i callback del kernel e il monitoraggio dei processi
• Stabilire la persistenza e caricare backdoor modulari aggiuntivi, tra cui MISTPEN e il nuovo Troy

5. Backdoor Troy e infrastruttura dirottata

La fase finale utilizzava il backdoor Troy, uno strumento di accesso remoto modulare recentemente documentato. La sua infrastruttura di comando era costruita quasi interamente su server legittimi dirottati—gli attaccanti non hanno costruito una propria infrastruttura, ma hanno compromesso i server di altre organizzazioni .

Paesi e settori presi di mira

Mitigazione e risposta

La patch di Microsoft

• Microsoft ha rilasciato una correzione il 12 agosto 2026 (Patch Tuesday), correggendo 398 CVE inclusa la CVE-2026-68820
• La correzione è seguita alla divulgazione responsabile da parte di Check Point Research, che ha identificato lo sfruttamento dello zero-day e lo ha segnalato a Microsoft
• Microsoft ha segnalato la CVE-2026-68820 come l'unica vulnerabilità attivamente sfruttata in quel rilascio mensile

Direttiva d'emergenza CISA

• La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha emesso una direttiva d'emergenza obbligatoria ordinando a tutte le agenzie del ramo esecutivo civile federale (FCEB) di correggere la CVE-2026-68820
• Alle agenzie è stata concessa una scadenza entro il 25 agosto 2026 per applicare la patch
• CISA ha aggiunto la vulnerabilità al suo catalogo Known Exploited Vulnerabilities (KEV), richiedendo un intervento a tutte le organizzazioni federali e raccomandandolo a tutte le organizzazioni del settore privato

Azioni raccomandate per le organizzazioni

• Applicare immediatamente gli aggiornamenti del Patch Tuesday di agosto 2026 di Microsoft, dando priorità alla CVE-2026-68820
• Monitorare attività anomale di AFD.sys, caricamenti imprevisti di driver del kernel e manomissioni degli EDR
• Formare i dipendenti sui messaggi di reclutamento falsi e sui visualizzatori di documenti troianizzati
• Implementare il rilevamento a livello di rete per il traffico di scambio di chiavi Kyber/ML-KEM su canali inaspettati

Perché questo è importante

Questa campagna rappresenta un'escalation nella sofisticazione da parte di un attore sponsorizzato da uno stato che è già uno dei più prolifici. L'uso della crittografia post-quantistica per proteggere la distribuzione degli exploit suggerisce che Lazarus sta sia monitorando le capacità difensive sia investendo nel rendere le proprie operazioni a prova di futuro. Il ripetuto targeting dello stesso driver AFD.sys—ora sfruttato almeno quattro volte dal 2022—evidenzia una superficie di vulnerabilità persistente nel kernel Windows che Microsoft continua a correggere in modo reattivo .