Hva Gjorde Dette Angrepet Annerledes

Lazarus har kjørt Operation Dream Job siden 2020, men denne bølgen introduserte tre betydelige tekniske oppgraderinger :

1. En tidligere ukjent Windows-nullpunktsfeil (CVE-2026-68820) i AFD.sys-driveren
2. Post-kvante nøkkelutveksling ved bruk av Kyber/ML-KEM for å kryptere kommandokontrolltrafikk
3. En ny modulær bakdør kalt Troy, som kommuniserte over kaprede legitime servere

Angrepskjeden, Steg for Steg

1. Sosial Manipulasjon via Falske Jobbtilbud

Ofre ble kontaktet på LinkedIn og andre profesjonelle plattformer av operatører som utga seg for å være rekrutterere fra Lockheed Martin og personvernteknologiselskapet Enveil . Målene mottok en stillingsbeskrivelse og en lenke til nedlastbare «intervjumaterialer». To parallelle infeksjonskjeder ble brukt :

• Kjede A (DLL-sidelasting): Offeret lastet ned et ZIP-arkiv som inneholdt en legitim, digitalt signert PDF-leser, en ondsinnet DLL (libmupdf.dll) og en kryptert nyttelast med filendelsen .pdf.enc. Når PDF-leseren ble startet, lastet den inn den ondsinnede DLL-en, som viste en avlednings-PDF mens den stilnet dekrypterte og kjørte nyttelasten .
• Kjede B (Trojanisert PDF-leser): Offeret lastet ned en falsk applikasjon kalt SecurityPDF, som utga seg for å være en legitim PDF-leser basert på MuPDF. Den trojaniserte leseren så legitim ut, men lastet inn ondsinnet kode når offeret åpnet en spesiallaget PDF .

2. Post-Kvantekryptering Beskytter C2-kanalen

Når den innledende lasteren ble utført, distribuerte den en fingeravtrykksmodul som kontaktet kommandoserveren og ba om fire offentlige nøkler. Modulen brukte Kyber / ML-KEM – NIST-standardisert post-kvante nøkkelinnkapslingsmekanisme – til å generere friskt nøkkelmateriale, kapsle inn en delt hemmelighet, og sende resultatet tilbake til serveren før den ba om den faktiske utnyttelsesnyttelasten .

Dette var den første dokumenterte bruken av post-kvantekryptering av Lazarus for å beskytte levering av utnyttelser. Teknikken sørget for at selv om nettverkstrafikk ble avlyttet, kunne ikke C2-kanalen dekrypteres av klassiske eller kvantedrevne motstandere .

3. Nullpunktsfeilen: CVE-2026-68820 i AFD.sys

Den leverte nyttelasten utnyttet CVE-2026-68820, en use-after-free race condition i afd.sys, Windows' Ancillary Function Driver som håndterer kjernemodus Winsock-operasjoner . Viktige tekniske detaljer inkluderer:

• CVSS-score: 7,0 (høy)
• Forutsetning: Angriperen måtte allerede ha lokal kodekjøring fra den innledende lasteren
• Utnyttelsesmekanisme: Race condition måtte vinnes for å kunne frigjøre og omallokere kjerneminne, noe som lot angriperen korrumpere kjernemål og oppnå lokal rettighetsheving til SYSTEM
• Gjentatt vektor: Dette var den samme driveren (AFD.sys) Lazarus misbrukte i minst fire tidligere kampanjer siden 2022, noe som gjør den til en gjentatt angrepsflate

4. Distribusjon av FudModule Kjerne-Rotkit

Etter å ha oppnådd SYSTEM-rettigheter, distribuerte utnyttelsen en oppgradert versjon av FudModule, Lazarus' signatur kjerne-rotkit . Denne versjonen – noen ganger merket FudModule v3.1 – støttet Windows 11-bygg 26100 og 26200 . FudModule opererte med full kjerne-tilgang for:

• Deaktivere endepunktdeteksjon og -responsverktøy (EDR) på kjernenivå
• Blinde sikkerhetsprodukter ved å manipulere kjernekallbakker og prosessovervåking
• Etablere persistens og laste inn ytterligere modulære bakdører, inkludert MISTPEN og den nye Troy-bakdøren

5. Troy Bakdør og Kapret Infrastruktur

Sluttstadiet brukte Troy-bakdøren, et nylig dokumentert modulært fjernkontrollverktøy. Kommandoinfrastrukturen var bygget nesten utelukkende av kaprede legitime servere – angriperne bygget ikke sin egen infrastruktur, men kompromitterte heller andre organisasjoners servere .

Land og Sektorer Som Ble Rammet

Tiltak og Respons

Microsofts Lapp

• Microsoft ga ut en løsning 11. august 2026 (Patch Tuesday), som lappet 398 CVEs inkludert CVE-2026-68820
• Løsningen fulgte ansvarlig avsløring av Check Point Research, som identifiserte nullpunktsutnyttelsen og rapporterte den til Microsoft
• Microsoft merket CVE-2026-68820 som den eneste aktivt utnyttede sårbarheten i den månedens utgivelse

CISA Nød-Direktiv

• Cybersecurity and Infrastructure Security Agency (CISA) utstedte et påbudt nød-direktiv som påla alle amerikanske føderale sivile utøvende etatsorganer (FCEB) å utbedre CVE-2026-68820
• Etatene fikk frist 25. august 2026 til å installere lappen
• CISA la sårbarheten til sin Known Exploited Vulnerabilities (KEV)-katalog, noe som krevde handling av alle føderale organisasjoner og anbefalte handling av alle private organisasjoner

Anbefalte Tiltak for Organisasjoner

• Installer Microsofts August 2026 Patch Tuesday-oppdateringer umiddelbart, prioriter CVE-2026-68820
• Overvåk for unormal AFD.sys-aktivitet, uventede kjernedriverlaster og EDR-manipulasjon
• Lær ansatte om falske rekrutteringslokker og trojaniserte dokumentvisere
• Implementer nettverksdeteksjon for Kyber/ML-KEM nøkkelutvekslingstrafikk på uventede kanaler

Hvorfor Dette Betyr Noe

Denne kampanjen representerer en eskalering i sofistikering fra en statssponset trusselaktør som allerede er en av de mest produktive. Bruken av post-kvantekryptering for å beskytte levering av utnyttelser antyder at Lazarus både overvåker defensive evner og investerer i fremtidssikring av sine operasjoner. Den gjentatte utnyttelsen av den samme AFD.sys-driveren – nå utnyttet minst fire ganger siden 2022 – fremhever en vedvarende sårbarhetsflate i Windows-kjernen som Microsoft fortsetter å lappe reaktivt .

Hva Gjorde Dette Angrepet Annerledes

Lazarus har kjørt Operation Dream Job siden 2020, men denne bølgen introduserte tre betydelige tekniske oppgraderinger :

1. En tidligere ukjent Windows-nullpunktsfeil (CVE-2026-68820) i AFD.sys-driveren
2. Post-kvante nøkkelutveksling ved bruk av Kyber/ML-KEM for å kryptere kommandokontrolltrafikk
3. En ny modulær bakdør kalt Troy, som kommuniserte over kaprede legitime servere

Angrepskjeden, Steg for Steg

1. Sosial Manipulasjon via Falske Jobbtilbud

Ofre ble kontaktet på LinkedIn og andre profesjonelle plattformer av operatører som utga seg for å være rekrutterere fra Lockheed Martin og personvernteknologiselskapet Enveil . Målene mottok en stillingsbeskrivelse og en lenke til nedlastbare «intervjumaterialer». To parallelle infeksjonskjeder ble brukt :

• Kjede A (DLL-sidelasting): Offeret lastet ned et ZIP-arkiv som inneholdt en legitim, digitalt signert PDF-leser, en ondsinnet DLL (libmupdf.dll) og en kryptert nyttelast med filendelsen .pdf.enc. Når PDF-leseren ble startet, lastet den inn den ondsinnede DLL-en, som viste en avlednings-PDF mens den stilnet dekrypterte og kjørte nyttelasten .
• Kjede B (Trojanisert PDF-leser): Offeret lastet ned en falsk applikasjon kalt SecurityPDF, som utga seg for å være en legitim PDF-leser basert på MuPDF. Den trojaniserte leseren så legitim ut, men lastet inn ondsinnet kode når offeret åpnet en spesiallaget PDF .

2. Post-Kvantekryptering Beskytter C2-kanalen

Når den innledende lasteren ble utført, distribuerte den en fingeravtrykksmodul som kontaktet kommandoserveren og ba om fire offentlige nøkler. Modulen brukte Kyber / ML-KEM – NIST-standardisert post-kvante nøkkelinnkapslingsmekanisme – til å generere friskt nøkkelmateriale, kapsle inn en delt hemmelighet, og sende resultatet tilbake til serveren før den ba om den faktiske utnyttelsesnyttelasten .

Dette var den første dokumenterte bruken av post-kvantekryptering av Lazarus for å beskytte levering av utnyttelser. Teknikken sørget for at selv om nettverkstrafikk ble avlyttet, kunne ikke C2-kanalen dekrypteres av klassiske eller kvantedrevne motstandere .

3. Nullpunktsfeilen: CVE-2026-68820 i AFD.sys

Den leverte nyttelasten utnyttet CVE-2026-68820, en use-after-free race condition i afd.sys, Windows' Ancillary Function Driver som håndterer kjernemodus Winsock-operasjoner . Viktige tekniske detaljer inkluderer:

• CVSS-score: 7,0 (høy)
• Forutsetning: Angriperen måtte allerede ha lokal kodekjøring fra den innledende lasteren
• Utnyttelsesmekanisme: Race condition måtte vinnes for å kunne frigjøre og omallokere kjerneminne, noe som lot angriperen korrumpere kjernemål og oppnå lokal rettighetsheving til SYSTEM
• Gjentatt vektor: Dette var den samme driveren (AFD.sys) Lazarus misbrukte i minst fire tidligere kampanjer siden 2022, noe som gjør den til en gjentatt angrepsflate

4. Distribusjon av FudModule Kjerne-Rotkit

Etter å ha oppnådd SYSTEM-rettigheter, distribuerte utnyttelsen en oppgradert versjon av FudModule, Lazarus' signatur kjerne-rotkit . Denne versjonen – noen ganger merket FudModule v3.1 – støttet Windows 11-bygg 26100 og 26200 . FudModule opererte med full kjerne-tilgang for:

• Deaktivere endepunktdeteksjon og -responsverktøy (EDR) på kjernenivå
• Blinde sikkerhetsprodukter ved å manipulere kjernekallbakker og prosessovervåking
• Etablere persistens og laste inn ytterligere modulære bakdører, inkludert MISTPEN og den nye Troy-bakdøren

5. Troy Bakdør og Kapret Infrastruktur

Sluttstadiet brukte Troy-bakdøren, et nylig dokumentert modulært fjernkontrollverktøy. Kommandoinfrastrukturen var bygget nesten utelukkende av kaprede legitime servere – angriperne bygget ikke sin egen infrastruktur, men kompromitterte heller andre organisasjoners servere .

Land og Sektorer Som Ble Rammet

Tiltak og Respons

Microsofts Lapp

• Microsoft ga ut en løsning 11. august 2026 (Patch Tuesday), som lappet 398 CVEs inkludert CVE-2026-68820
• Løsningen fulgte ansvarlig avsløring av Check Point Research, som identifiserte nullpunktsutnyttelsen og rapporterte den til Microsoft
• Microsoft merket CVE-2026-68820 som den eneste aktivt utnyttede sårbarheten i den månedens utgivelse

CISA Nød-Direktiv

• Cybersecurity and Infrastructure Security Agency (CISA) utstedte et påbudt nød-direktiv som påla alle amerikanske føderale sivile utøvende etatsorganer (FCEB) å utbedre CVE-2026-68820
• Etatene fikk frist 25. august 2026 til å installere lappen
• CISA la sårbarheten til sin Known Exploited Vulnerabilities (KEV)-katalog, noe som krevde handling av alle føderale organisasjoner og anbefalte handling av alle private organisasjoner

Anbefalte Tiltak for Organisasjoner

• Installer Microsofts August 2026 Patch Tuesday-oppdateringer umiddelbart, prioriter CVE-2026-68820
• Overvåk for unormal AFD.sys-aktivitet, uventede kjernedriverlaster og EDR-manipulasjon
• Lær ansatte om falske rekrutteringslokker og trojaniserte dokumentvisere
• Implementer nettverksdeteksjon for Kyber/ML-KEM nøkkelutvekslingstrafikk på uventede kanaler

Hvorfor Dette Betyr Noe

Denne kampanjen representerer en eskalering i sofistikering fra en statssponset trusselaktør som allerede er en av de mest produktive. Bruken av post-kvantekryptering for å beskytte levering av utnyttelser antyder at Lazarus både overvåker defensive evner og investerer i fremtidssikring av sine operasjoner. Den gjentatte utnyttelsen av den samme AFD.sys-driveren – nå utnyttet minst fire ganger siden 2022 – fremhever en vedvarende sårbarhetsflate i Windows-kjernen som Microsoft fortsetter å lappe reaktivt .