Wat deze aanval anders maakte

Lazarus voert Operation Dream Job al sinds 2020 uit, maar deze golf introduceerde drie belangrijke technische vernieuwingen :

1. Een voorheen onbekende Windows zero-day (CVE-2026-68820) in de AFD.sys driver
2. Post-quantum sleuteluitwisseling met Kyber/ML-KEM om het command-and-control verkeer te versleutelen
3. Een nieuwe modulaire backdoor genaamd Troy, die communiceert via gekaapte legitieme servers

De aanvalsketen stap voor stap

1. Social engineering via neppe vacatures

Slachtoffers werden benaderd op LinkedIn en andere professionele platforms door operators die zich voordeden als recruiters van Lockheed Martin en het privacy-tech bedrijf Enveil . Doelwitten ontvingen een functiebeschrijving en een link naar downloadbare "sollicitatiematerialen". Er werden twee parallelle infectieketens gebruikt :

• Keten A (DLL sideloading): Het slachtoffer downloadde een ZIP-archief met daarin een legitieme, digitaal ondertekende PDF-viewer, een kwaadaardige DLL (libmupdf.dll) en een versleutelde payload met een .pdf.enc extensie. Wanneer de PDF-viewer werd gestart, laadde deze via sideloading de kwaadaardige DLL, die een neppe PDF weergaf terwijl stilletjes de payload werd ontsleuteld en uitgevoerd .
• Keten B (Getrojaniseerde PDF-viewer): Het slachtoffer downloadde een neppe applicatie genaamd SecurityPDF, die zich voordeed als een legitieme PDF-viewer gebaseerd op MuPDF. Deze getrojaniseerde viewer zag er legitiem uit maar laadde kwaadaardige code zodra een speciaal geprepareerde PDF werd geopend .

2. Post-quantum encryptie beschermt het C2-kanaal

Zodra de initiële loader was uitgevoerd, implementeerde deze een fingerprinting-module die contact maakte met de commandoserver en vier publieke sleutels opvroeg. De module gebruikte Kyber / ML-KEM—de door NIST gestandaardiseerde post-quantum sleutelinkapselingsmethode—om nieuw sleutelmateriaal te genereren, een gedeeld geheim in te kapselen, en het resultaat terug te sturen naar de server voordat de daadwerkelijke exploit-payload werd opgevraagd .

Dit was het eerste gedocumenteerde gebruik van post-quantum encryptie door Lazarus om de levering van exploits te beschermen. De techniek zorgde ervoor dat zelfs als netwerkverkeer werd onderschept, het C2-kanaal niet kon worden ontsleuteld door klassieke of quantum-capabele tegenstanders .

3. De zero-day: CVE-2026-68820 in AFD.sys

De afgeleverde payload maakte misbruik van CVE-2026-68820, een use-after-free raceconditie in afd.sys, de Windows Ancillary Function Driver die kernel-mode Winsock-operaties afhandelt . Belangrijke technische details:

• CVSS-score: 7.0 (hoog)
• Voorwaarde: De aanvaller had al lokale code-uitvoering nodig van de initiële loader
• Exploitatiemechanisme: De raceconditie moest worden gewonnen om kernelgeheugen succesvol vrij te geven en opnieuw toe te wijzen, waardoor de aanvaller kernelobjecten kon beschadigen en lokale privilege-escalatie naar SYSTEM kon krijgen
• Terugkerende vector: Dit was de zelfde driver (AFD.sys) die Lazarus in ten minste vier eerdere campagnes sinds 2022 heeft misbruikt, wat het een terugkerend aanvalsoppervlak maakt .

4. Implementatie van FudModule kernel rootkit

Na het verkrijgen van SYSTEM-rechten implementeerde de exploit een geüpgrade versie van FudModule, de kenmerkende kernel-mode rootkit van Lazarus . Deze versie—soms aangeduid als FudModule v3.1—ondersteunde Windows 11 builds 26100 en 26200 . FudModule opereerde met volledige kerneltoegang om:

• Endpoint detection and response (EDR)-tools op kernel-niveau uit te schakelen
• Beveiligingsproducten te blinderen door te knoeien met kernel-callbacks en procesmonitoring
• Persistentie te vestigen en extra modulaire backdoors te laden, waaronder MISTPEN en de nieuwe Troy-backdoor

5. Troy-backdoor en gekaapte infrastructuur

In de laatste fase werd de Troy-backdoor gebruikt, een nieuw gedocumenteerde modulaire remote access tool. De command-infrastructuur was bijna volledig opgebouwd uit gekaapte legitieme servers—de aanvallers bouwden geen eigen infrastructuur maar compromitteerden servers van andere organisaties .

Getroffen landen en sectoren

Mitigatie en respons

Microsofts patch

• Microsoft bracht een fix uit op 11 augustus 2026 (Patch Tuesday), waarbij 398 CVEs werden gepatcht, waaronder CVE-2026-68820
• De fix volgde op verantwoorde openbaarmaking door Check Point Research, dat de zero-day exploitatie identificeerde en meldde aan Microsoft
• Microsoft markeerde CVE-2026-68820 als de enige actief geëxploiteerde kwetsbaarheid in die maandelijkse release

CISA-noodbevel

• De Cybersecurity and Infrastructure Security Agency (CISA) gaf een verplicht noodbevel uit dat alle Amerikaanse federale civiele instanties (FCEB) moesten CVE-2026-68820 verhelpen
• Instanties kregen een deadline van 25 augustus 2026 om de patch te installeren
• CISA voegde de kwetsbaarheid toe aan de Known Exploited Vulnerabilities (KEV)-catalogus, waarmee actie vereist is voor alle federale organisaties en aanbevolen voor alle private organisaties

Aanbevolen acties voor organisaties

• Installeer Microsofts Patch Tuesday-updates van augustus 2026 onmiddellijk, met prioriteit voor CVE-2026-68820
• Monitor op afwijkende AFD.sys-activiteit, onverwachte kernel-driverladingen en EDR-manipulatie
• Informeer werknemers over neppe recruiter-lokmiddelen en getrojaniseerde documentviewers
• Implementeer netwerkdetectie voor Kyber/ML-KEM-sleuteluitwisselingsverkeer op onverwachte kanalen

Waarom dit belangrijk is

Deze campagne vertegenwoordigt een escalatie in sophisticated van een staatsgesteunde dreigingsactor die al een van de meest productieve is. Het gebruik van post-quantum encryptie om de levering van exploits te beschermen, suggereert dat Lazarus zowel defensieve capaciteiten monitort als investeert in het toekomstbestendig maken van zijn operaties. Het herhaaldelijk targeten van dezelfde AFD.sys driver—nu sinds 2022 minstens vier keer geëxploiteerd—benadrukt een aanhoudend kwetsbaar oppervlak in de Windows-kernel dat Microsoft reactief blijft patchen .

Wat deze aanval anders maakte

Lazarus voert Operation Dream Job al sinds 2020 uit, maar deze golf introduceerde drie belangrijke technische vernieuwingen :

1. Een voorheen onbekende Windows zero-day (CVE-2026-68820) in de AFD.sys driver
2. Post-quantum sleuteluitwisseling met Kyber/ML-KEM om het command-and-control verkeer te versleutelen
3. Een nieuwe modulaire backdoor genaamd Troy, die communiceert via gekaapte legitieme servers

De aanvalsketen stap voor stap

1. Social engineering via neppe vacatures

Slachtoffers werden benaderd op LinkedIn en andere professionele platforms door operators die zich voordeden als recruiters van Lockheed Martin en het privacy-tech bedrijf Enveil . Doelwitten ontvingen een functiebeschrijving en een link naar downloadbare "sollicitatiematerialen". Er werden twee parallelle infectieketens gebruikt :

• Keten A (DLL sideloading): Het slachtoffer downloadde een ZIP-archief met daarin een legitieme, digitaal ondertekende PDF-viewer, een kwaadaardige DLL (libmupdf.dll) en een versleutelde payload met een .pdf.enc extensie. Wanneer de PDF-viewer werd gestart, laadde deze via sideloading de kwaadaardige DLL, die een neppe PDF weergaf terwijl stilletjes de payload werd ontsleuteld en uitgevoerd .
• Keten B (Getrojaniseerde PDF-viewer): Het slachtoffer downloadde een neppe applicatie genaamd SecurityPDF, die zich voordeed als een legitieme PDF-viewer gebaseerd op MuPDF. Deze getrojaniseerde viewer zag er legitiem uit maar laadde kwaadaardige code zodra een speciaal geprepareerde PDF werd geopend .

2. Post-quantum encryptie beschermt het C2-kanaal

Zodra de initiële loader was uitgevoerd, implementeerde deze een fingerprinting-module die contact maakte met de commandoserver en vier publieke sleutels opvroeg. De module gebruikte Kyber / ML-KEM—de door NIST gestandaardiseerde post-quantum sleutelinkapselingsmethode—om nieuw sleutelmateriaal te genereren, een gedeeld geheim in te kapselen, en het resultaat terug te sturen naar de server voordat de daadwerkelijke exploit-payload werd opgevraagd .

Dit was het eerste gedocumenteerde gebruik van post-quantum encryptie door Lazarus om de levering van exploits te beschermen. De techniek zorgde ervoor dat zelfs als netwerkverkeer werd onderschept, het C2-kanaal niet kon worden ontsleuteld door klassieke of quantum-capabele tegenstanders .

3. De zero-day: CVE-2026-68820 in AFD.sys

De afgeleverde payload maakte misbruik van CVE-2026-68820, een use-after-free raceconditie in afd.sys, de Windows Ancillary Function Driver die kernel-mode Winsock-operaties afhandelt . Belangrijke technische details:

• CVSS-score: 7.0 (hoog)
• Voorwaarde: De aanvaller had al lokale code-uitvoering nodig van de initiële loader
• Exploitatiemechanisme: De raceconditie moest worden gewonnen om kernelgeheugen succesvol vrij te geven en opnieuw toe te wijzen, waardoor de aanvaller kernelobjecten kon beschadigen en lokale privilege-escalatie naar SYSTEM kon krijgen
• Terugkerende vector: Dit was de zelfde driver (AFD.sys) die Lazarus in ten minste vier eerdere campagnes sinds 2022 heeft misbruikt, wat het een terugkerend aanvalsoppervlak maakt .

4. Implementatie van FudModule kernel rootkit

Na het verkrijgen van SYSTEM-rechten implementeerde de exploit een geüpgrade versie van FudModule, de kenmerkende kernel-mode rootkit van Lazarus . Deze versie—soms aangeduid als FudModule v3.1—ondersteunde Windows 11 builds 26100 en 26200 . FudModule opereerde met volledige kerneltoegang om:

• Endpoint detection and response (EDR)-tools op kernel-niveau uit te schakelen
• Beveiligingsproducten te blinderen door te knoeien met kernel-callbacks en procesmonitoring
• Persistentie te vestigen en extra modulaire backdoors te laden, waaronder MISTPEN en de nieuwe Troy-backdoor

5. Troy-backdoor en gekaapte infrastructuur

In de laatste fase werd de Troy-backdoor gebruikt, een nieuw gedocumenteerde modulaire remote access tool. De command-infrastructuur was bijna volledig opgebouwd uit gekaapte legitieme servers—de aanvallers bouwden geen eigen infrastructuur maar compromitteerden servers van andere organisaties .

Getroffen landen en sectoren

Mitigatie en respons

Microsofts patch

• Microsoft bracht een fix uit op 11 augustus 2026 (Patch Tuesday), waarbij 398 CVEs werden gepatcht, waaronder CVE-2026-68820
• De fix volgde op verantwoorde openbaarmaking door Check Point Research, dat de zero-day exploitatie identificeerde en meldde aan Microsoft
• Microsoft markeerde CVE-2026-68820 als de enige actief geëxploiteerde kwetsbaarheid in die maandelijkse release

CISA-noodbevel

• De Cybersecurity and Infrastructure Security Agency (CISA) gaf een verplicht noodbevel uit dat alle Amerikaanse federale civiele instanties (FCEB) moesten CVE-2026-68820 verhelpen
• Instanties kregen een deadline van 25 augustus 2026 om de patch te installeren
• CISA voegde de kwetsbaarheid toe aan de Known Exploited Vulnerabilities (KEV)-catalogus, waarmee actie vereist is voor alle federale organisaties en aanbevolen voor alle private organisaties

Aanbevolen acties voor organisaties

• Installeer Microsofts Patch Tuesday-updates van augustus 2026 onmiddellijk, met prioriteit voor CVE-2026-68820
• Monitor op afwijkende AFD.sys-activiteit, onverwachte kernel-driverladingen en EDR-manipulatie
• Informeer werknemers over neppe recruiter-lokmiddelen en getrojaniseerde documentviewers
• Implementeer netwerkdetectie voor Kyber/ML-KEM-sleuteluitwisselingsverkeer op onverwachte kanalen

Waarom dit belangrijk is

Deze campagne vertegenwoordigt een escalatie in sophisticated van een staatsgesteunde dreigingsactor die al een van de meest productieve is. Het gebruik van post-quantum encryptie om de levering van exploits te beschermen, suggereert dat Lazarus zowel defensieve capaciteiten monitort als investeert in het toekomstbestendig maken van zijn operaties. Het herhaaldelijk targeten van dezelfde AFD.sys driver—nu sinds 2022 minstens vier keer geëxploiteerd—benadrukt een aanhoudend kwetsbaar oppervlak in de Windows-kernel dat Microsoft reactief blijft patchen .