Apa Yang Membuatkan Serangan Ini Berbeza

Lazarus telah menjalankan Operation Dream Job sejak 2020, tetapi gelombang ini memperkenalkan tiga peningkatan teknikal yang ketara :

1. Zero-day Windows yang tidak diketahui sebelum ini (CVE-2026-68820) dalam pemacu AFD.sys
2. Pertukaran kunci pasca-kuantum menggunakan Kyber/ML-KEM untuk menyulitkan trafik perintah dan kawalan
3. Backdoor modular baharu bernama Troy, berkomunikasi melalui pelayan sah yang dirampas

Rangkaian Serangan Langkah demi Langkah

1. Kejuruteraan Sosial Melalui Tawaran Kerja Palsu

Mangsa didekati di LinkedIn dan platform profesional lain oleh operator yang menyamar sebagai perekrut dari Lockheed Martin dan firma teknologi privasi Enveil . Sasaran menerima deskripsi kerja dan pautan untuk memuat turun "bahan temuduga." Dua rantai jangkitan selari digunakan :

• Rantai A (DLL sideloading): Mangsa memuat turun arkib ZIP yang mengandungi boleh laku pemapar PDF yang sah dan ditandatangani digital, DLL berniat jahat (libmupdf.dll), dan muatan yang disulitkan dengan sambungan .pdf.enc. Apabila dilancarkan, pemapar PDF memuatkan DLL berniat jahat, yang memaparkan PDF umpan sementara menyahsulit dan melaksanakan muatan secara senyap .
• Rantai B (Pemapar PDF trojan): Mangsa memuat turun aplikasi palsu bernama SecurityPDF, yang menyamar sebagai pemapar PDF sah berdasarkan MuPDF. Pemapar trojan ini kelihatan sah tetapi memuatkan kod berniat jahat apabila membuka PDF yang direka khas .

2. Enkripsi Pasca-Kuantum Melindungi Saluran C2

Setelah pemuat awal dilaksanakan, ia menggunakan modul cap jari yang menghubungi pelayan perintah dan meminta empat kunci awam. Modul ini menggunakan Kyber / ML-KEM—mekanisme enkapsulasi kunci pasca-kuantum yang diseragamkan oleh NIST—untuk menjana bahan kunci baharu, mengenkapsulasi rahsia bersama, dan menghantar hasilnya kembali ke pelayan sebelum meminta muatan eksploitasi sebenar .

Ini adalah penggunaan enkripsi pasca-kuantum pertama yang didokumentasikan oleh Lazarus untuk melindungi penghantaran eksploitasi. Teknik ini memastikan bahawa walaupun trafik rangkaian dipintas, saluran C2 tidak dapat dinyahsulit oleh musuh klasik atau yang berkemampuan kuantum .

3. Zero-Day: CVE-2026-68820 dalam AFD.sys

Muatan yang dihantar mengeksploitasi CVE-2026-68820, keadaan perlumbaan use-after-free dalam afd.sys, Pemacu Fungsi Tambahan Windows yang mengendalikan operasi Winsock mod kernel . Butiran teknikal utama termasuk:

• Skor CVSS: 7.0 (tinggi)
• Prasyarat: Penyerang sudah perlu mempunyai pelaksanaan kod setempat daripada pemuat awal
• Mekanisme eksploitasi: Keadaan perlumbaan perlu dimenangi untuk berjaya membebaskan dan memperuntukkan semula memori kernel, membolehkan penyerang merosakkan objek kernel dan mencapai peningkatan keistimewaan setempat kepada SYSTEM
• Vektor berulang: Ini adalah pemacu yang sama (AFD.sys) yang telah disalahgunakan oleh Lazarus dalam sekurang-kurangnya empat kempen sebelumnya sejak 2022, menjadikannya permukaan serangan yang berulang .

4. Penggunaan Rootkit Kernel FudModule

Selepas mendapat keistimewaan SYSTEM, eksploitasi menggunakan versi dinaik taraf FudModule, rootkit mod kernel tandatangan Lazarus . Versi ini—kadang-kadang dilabel FudModule v3.1—menyokong Windows 11 binaan 26100 dan 26200 . FudModule beroperasi dengan akses kernel penuh untuk:

• Melumpuhkan alat pengesanan dan tindak balas titik akhir (EDR) di peringkat kernel
• Membutakan produk keselamatan dengan mengganggu panggilan balik kernel dan pemantauan proses
• Mewujudkan kegigihan dan memuatkan backdoor modular tambahan, termasuk MISTPEN dan backdoor Troy baharu

5. Backdoor Troy dan Infrastruktur Dirampas

Peringkat akhir menggunakan backdoor Troy, alat akses jauh modular yang baru didokumentasikan. Infrastruktur perintahnya dibina hampir keseluruhannya daripada pelayan sah yang dirampas—penyerang tidak membina infrastruktur mereka sendiri tetapi sebaliknya menjejaskan pelayan organisasi lain .

Negara dan Sektor Yang Disasarkan

Mitigasi dan Tindakan Balas

Tampalan Microsoft

• Microsoft mengeluarkan pembetulan pada 11 Ogos 2026 (Patch Tuesday), menambal 398 CVE termasuk CVE-2026-68820
• Pembetulan itu berikutan pendedahan bertanggungjawab oleh Check Point Research, yang mengenal pasti eksploitasi zero-day dan melaporkannya kepada Microsoft
• Microsoft menandakan CVE-2026-68820 sebagai satu-satunya kelemahan yang dieksploitasi secara aktif dalam keluaran bulan itu

Arahan Kecemasan CISA

• Agensi Keselamatan Siber dan Infrastruktur (CISA) mengeluarkan Arahan Kecemasan mandatori yang mengarahkan semua agensi Cawangan Eksekutif Awam Persekutuan AS (FCEB) untuk membetulkan CVE-2026-68820
• Agensi diberi tarikh akhir 25 Ogos 2026 untuk menggunakan tampalan
• CISA menambah kelemahan ini ke dalam katalog Kelemahan Dieksploitasi Diketahui (KEV), memerlukan tindakan oleh semua organisasi persekutuan dan mengesyorkan tindakan oleh semua organisasi swasta

Tindakan Disyorkan untuk Organisasi

• Gunakan kemas kini Patch Tuesday Ogos 2026 Microsoft dengan segera, utamakan CVE-2026-68820
• Pantau aktiviti AFD.sys yang mencurigakan, pemuatan pemacu kernel yang tidak dijangka, dan gangguan EDR
• Didik pekerja tentang umpan pemikat pekerja palsu dan pemapar dokumen trojan
• Laksanakan pengesanan peringkat rangkaian untuk trafik pertukaran kunci Kyber/ML-KEM pada saluran yang tidak dijangka

Kenapa Ini Penting

Kempen ini mewakili peningkatan dalam kecanggihan daripada pelaku ancaman yang ditaja oleh negara yang sudah menjadi salah satu yang paling prolifik. Penggunaan enkripsi pasca-kuantum untuk melindungi penghantaran eksploitasi menunjukkan bahawa Lazarus sedang memantau keupayaan pertahanan dan melabur dalam operasi kalis masa depan. Penyasaran berulang pemacu AFD.sys yang sama—kini dieksploitasi sekurang-kurangnya empat kali sejak 2022—menonjolkan permukaan kelemahan yang berterusan dalam kernel Windows yang terus ditampal oleh Microsoft secara reaktif .

Apa Yang Membuatkan Serangan Ini Berbeza

Lazarus telah menjalankan Operation Dream Job sejak 2020, tetapi gelombang ini memperkenalkan tiga peningkatan teknikal yang ketara :

1. Zero-day Windows yang tidak diketahui sebelum ini (CVE-2026-68820) dalam pemacu AFD.sys
2. Pertukaran kunci pasca-kuantum menggunakan Kyber/ML-KEM untuk menyulitkan trafik perintah dan kawalan
3. Backdoor modular baharu bernama Troy, berkomunikasi melalui pelayan sah yang dirampas

Rangkaian Serangan Langkah demi Langkah

1. Kejuruteraan Sosial Melalui Tawaran Kerja Palsu

Mangsa didekati di LinkedIn dan platform profesional lain oleh operator yang menyamar sebagai perekrut dari Lockheed Martin dan firma teknologi privasi Enveil . Sasaran menerima deskripsi kerja dan pautan untuk memuat turun "bahan temuduga." Dua rantai jangkitan selari digunakan :

• Rantai A (DLL sideloading): Mangsa memuat turun arkib ZIP yang mengandungi boleh laku pemapar PDF yang sah dan ditandatangani digital, DLL berniat jahat (libmupdf.dll), dan muatan yang disulitkan dengan sambungan .pdf.enc. Apabila dilancarkan, pemapar PDF memuatkan DLL berniat jahat, yang memaparkan PDF umpan sementara menyahsulit dan melaksanakan muatan secara senyap .
• Rantai B (Pemapar PDF trojan): Mangsa memuat turun aplikasi palsu bernama SecurityPDF, yang menyamar sebagai pemapar PDF sah berdasarkan MuPDF. Pemapar trojan ini kelihatan sah tetapi memuatkan kod berniat jahat apabila membuka PDF yang direka khas .

2. Enkripsi Pasca-Kuantum Melindungi Saluran C2

Setelah pemuat awal dilaksanakan, ia menggunakan modul cap jari yang menghubungi pelayan perintah dan meminta empat kunci awam. Modul ini menggunakan Kyber / ML-KEM—mekanisme enkapsulasi kunci pasca-kuantum yang diseragamkan oleh NIST—untuk menjana bahan kunci baharu, mengenkapsulasi rahsia bersama, dan menghantar hasilnya kembali ke pelayan sebelum meminta muatan eksploitasi sebenar .

Ini adalah penggunaan enkripsi pasca-kuantum pertama yang didokumentasikan oleh Lazarus untuk melindungi penghantaran eksploitasi. Teknik ini memastikan bahawa walaupun trafik rangkaian dipintas, saluran C2 tidak dapat dinyahsulit oleh musuh klasik atau yang berkemampuan kuantum .

3. Zero-Day: CVE-2026-68820 dalam AFD.sys

Muatan yang dihantar mengeksploitasi CVE-2026-68820, keadaan perlumbaan use-after-free dalam afd.sys, Pemacu Fungsi Tambahan Windows yang mengendalikan operasi Winsock mod kernel . Butiran teknikal utama termasuk:

• Skor CVSS: 7.0 (tinggi)
• Prasyarat: Penyerang sudah perlu mempunyai pelaksanaan kod setempat daripada pemuat awal
• Mekanisme eksploitasi: Keadaan perlumbaan perlu dimenangi untuk berjaya membebaskan dan memperuntukkan semula memori kernel, membolehkan penyerang merosakkan objek kernel dan mencapai peningkatan keistimewaan setempat kepada SYSTEM
• Vektor berulang: Ini adalah pemacu yang sama (AFD.sys) yang telah disalahgunakan oleh Lazarus dalam sekurang-kurangnya empat kempen sebelumnya sejak 2022, menjadikannya permukaan serangan yang berulang .

4. Penggunaan Rootkit Kernel FudModule

Selepas mendapat keistimewaan SYSTEM, eksploitasi menggunakan versi dinaik taraf FudModule, rootkit mod kernel tandatangan Lazarus . Versi ini—kadang-kadang dilabel FudModule v3.1—menyokong Windows 11 binaan 26100 dan 26200 . FudModule beroperasi dengan akses kernel penuh untuk:

• Melumpuhkan alat pengesanan dan tindak balas titik akhir (EDR) di peringkat kernel
• Membutakan produk keselamatan dengan mengganggu panggilan balik kernel dan pemantauan proses
• Mewujudkan kegigihan dan memuatkan backdoor modular tambahan, termasuk MISTPEN dan backdoor Troy baharu

5. Backdoor Troy dan Infrastruktur Dirampas

Peringkat akhir menggunakan backdoor Troy, alat akses jauh modular yang baru didokumentasikan. Infrastruktur perintahnya dibina hampir keseluruhannya daripada pelayan sah yang dirampas—penyerang tidak membina infrastruktur mereka sendiri tetapi sebaliknya menjejaskan pelayan organisasi lain .

Negara dan Sektor Yang Disasarkan

Mitigasi dan Tindakan Balas

Tampalan Microsoft

• Microsoft mengeluarkan pembetulan pada 11 Ogos 2026 (Patch Tuesday), menambal 398 CVE termasuk CVE-2026-68820
• Pembetulan itu berikutan pendedahan bertanggungjawab oleh Check Point Research, yang mengenal pasti eksploitasi zero-day dan melaporkannya kepada Microsoft
• Microsoft menandakan CVE-2026-68820 sebagai satu-satunya kelemahan yang dieksploitasi secara aktif dalam keluaran bulan itu

Arahan Kecemasan CISA

• Agensi Keselamatan Siber dan Infrastruktur (CISA) mengeluarkan Arahan Kecemasan mandatori yang mengarahkan semua agensi Cawangan Eksekutif Awam Persekutuan AS (FCEB) untuk membetulkan CVE-2026-68820
• Agensi diberi tarikh akhir 25 Ogos 2026 untuk menggunakan tampalan
• CISA menambah kelemahan ini ke dalam katalog Kelemahan Dieksploitasi Diketahui (KEV), memerlukan tindakan oleh semua organisasi persekutuan dan mengesyorkan tindakan oleh semua organisasi swasta

Tindakan Disyorkan untuk Organisasi

• Gunakan kemas kini Patch Tuesday Ogos 2026 Microsoft dengan segera, utamakan CVE-2026-68820
• Pantau aktiviti AFD.sys yang mencurigakan, pemuatan pemacu kernel yang tidak dijangka, dan gangguan EDR
• Didik pekerja tentang umpan pemikat pekerja palsu dan pemapar dokumen trojan
• Laksanakan pengesanan peringkat rangkaian untuk trafik pertukaran kunci Kyber/ML-KEM pada saluran yang tidak dijangka

Kenapa Ini Penting

Kempen ini mewakili peningkatan dalam kecanggihan daripada pelaku ancaman yang ditaja oleh negara yang sudah menjadi salah satu yang paling prolifik. Penggunaan enkripsi pasca-kuantum untuk melindungi penghantaran eksploitasi menunjukkan bahawa Lazarus sedang memantau keupayaan pertahanan dan melabur dalam operasi kalis masa depan. Penyasaran berulang pemacu AFD.sys yang sama—kini dieksploitasi sekurang-kurangnya empat kali sejak 2022—menonjolkan permukaan kelemahan yang berterusan dalam kernel Windows yang terus ditampal oleh Microsoft secara reaktif .