Co wyróżniało ten atak?

Lazarus prowadzi operację „Dream Job” od 2020 roku, ale ta fala przyniosła trzy istotne ulepszenia techniczne :

1. Nieznana wcześniej luka zero-day Windows (CVE-2026-68820) w sterowniku AFD.sys
2. Postkwantowa wymiana kluczy z użyciem Kyber/ML-KEM do szyfrowania ruchu dowodzenia
3. Nowy, modułowy backdoor o nazwie Troy, komunikujący się przez przejęte legalne serwery

Łańcuch ataku krok po kroku

1. Socjotechnika przez fałszywe oferty pracy

Ofiary były kontaktowane na LinkedIn i innych platformach. Atakujący podszywali się pod rekruterów z Lockheed Martin oraz firmy Enveil . Celom wysyłano opis stanowiska i link do materiałów „rekrutacyjnych”. Użyto dwóch równoległych łańcuchów infekcji :

• Łańcuch A (DLL sideloading): Ofiara pobierała archiwum ZIP zawierające legalny, podpisany cyfrowo plik wykonywalny przeglądarki PDF, złośliwą bibliotekę DLL (libmupdf.dll) oraz zaszyfrowany ładunek z rozszerzeniem .pdf.enc. Po uruchomieniu przeglądarki następowało sideloadowanie złośliwego DLL, który wyświetlał atrapę dokumentu PDF, jednocześnie w tle deszyfrując i wykonując właściwy ładunek .
• Łańcuch B (Sfałszowana przeglądarka PDF): Ofiara pobierała fałszywą aplikację SecurityPDF, podszywającą się pod legalną przeglądarkę opartą na MuPDF. Aplikacja wyglądała autentycznie, ale uruchamiała złośliwy kod po otwarciu spreparowanego pliku PDF .

2. Szyfrowanie postkwantowe chroni kanał dowodzenia

Po uruchomieniu pierwszego modułu ładującego, wdrażał on moduł zbierający informacje o systemie i kontaktował się z serwerem dowodzenia, żądając czterech kluczy publicznych. Moduł używał standardu Kyber/ML-KEM – zatwierdzonego przez NIST mechanizmu kapsułkowania kluczy odpornego na ataki komputerów kwantowych – do wygenerowania nowego materiału kluczowego, zapakowania wspólnego sekretu i wysłania go z powrotem do serwera przed pobraniem właściwego exploita .

Było to pierwsze udokumentowane użycie kryptografii postkwantowej przez Lazarus do ochrony dostarczania exploitu. Dzięki temu nawet w przypadku przechwycenia ruchu sieciowego kanał dowodzenia pozostawał nieczytelny dla przeciwników dysponujących komputerami kwantowymi .

3. Zero-day: CVE-2026-68820 w sterowniku AFD.sys

Dostarczony ładunek wykorzystywał CVE-2026-68820 – podatność typu use-after-free w sterowniku afd.sys, czyli sterowniku pomocniczym Windows (Ancillary Function Driver) obsługującym operacje Winsock w jądrze systemu . Kluczowe szczegóły techniczne:

• Wskaźnik CVSS: 7,0 (wysoki)
• Warunek wstępny: Atakujący musiał już mieć możliwość wykonania kodu w systemie ofiary z pierwszego modułu ładującego
• Mechanizm wykorzystania: Warunek wyścigu (race condition) – atakujący musiał wygrać rywalizację o czas, aby skutecznie zwolnić i ponownie przydzielić pamięć jądra, co pozwalało na uszkodzenie obiektów jądra i podniesienie uprawnień do poziomu SYSTEM
• Powtarzający się cel: Było to wykorzystanie tego samego sterownika (AFD.sys), który Lazarus atakował już co najmniej cztery razy od 2022 roku .

4. Wdrożenie rootkita jądra FudModule

Po uzyskaniu uprawnień SYSTEM exploit wdrażał uaktualnioną wersję FudModule – charakterystycznego dla Lazarusa rootkita działającego w trybie jądra . Ta wersja (określana jako FudModule v3.1) obsługiwała Windows 11 w wersjach 26100 i 26200 . FudModule działał z pełnym dostępem do jądra, umożliwiając:

• Wyłączenie narzędzi bezpieczeństwa EDR na poziomie jądra
• Oślepienie produktów ochronnych poprzez manipulację callbackami jądra i monitorowaniem procesów
• Ustanowienie trwałości i załadowanie dodatkowych, modułowych backdoorów, w tym MISTPEN i nowego backdoora Troy

5. Backdoor Troy i przejęta infrastruktura

Ostatni etap używał backdoora Troy – nowo udokumentowanego, modułowego narzędzia do zdalnego dostępu. Jego infrastruktura dowodzenia została zbudowana niemal w całości z przejętych legalnych serwerów. Atakujący nie tworzyli własnej infrastruktury, lecz kompromitowali serwery innych organizacji .

Kraje i sektory objęte atakiem

Reakcja i łatanie

Łatka Microsoft

• Microsoft wydał poprawkę 11 sierpnia 2026 r. (Patch Tuesday), łatając łącznie 398 podatności, w tym CVE-2026-68820
• Poprawka była wynikiem odpowiedzialnego ujawnienia przez Check Point Research, które zidentyfikowało wykorzystanie zero-day i zgłosiło je do Microsoft
• Microsoft oznaczył CVE-2026-68820 jako jedyną aktywnie wykorzystywaną podatność w tej aktualizacji

Nakaz CISA

• Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wydała wiążący Nakaz Nadzwyczajny (Emergency Directive), nakazujący wszystkim agencjom cywilnym władzy wykonawczej USA (FCEB) łatanie CVE-2026-68820
• Agencje miały czas do 25 sierpnia 2026 r. na zastosowanie poprawki
• CISA dodała podatność do swojego katalogu znanych podatności wykorzystywanych w atakach (KEV), co nakłada wymóg działania na wszystkie organizacje federalne i jest zalecane dla sektora prywatnego

Zalecane działania dla organizacji

• Natychmiast zastosuj aktualizacje z sierpniowego Patch Tuesday 2026, priorytetowo traktując CVE-2026-68820
• Monitoruj nietypową aktywność sterownika AFD.sys, nieoczekiwane ładowanie sterowników jądra i próby wyłączenia EDR
• Edukuj pracowników o fałszywych ofertach pracy i spreparowanych przeglądarkach PDF
• Wdróż detekcję ruchu związanego z wymianą kluczy Kyber/ML-KEM na nietypowych kanałach sieciowych

Dlaczego to jest ważne?

Kampania ta oznacza eskalację poziomu wyrafinowania sponsorowanego przez państwo aktora, który już jest jednym z najbardziej aktywnych. Użycie kryptografii postkwantowej do ochrony dostarczania exploitów sugeruje, że Lazarus monitoruje zdolności obronne i inwestuje w zabezpieczenie swoich operacji na przyszłość. Ponowne wykorzystanie tego samego sterownika AFD.sys – atakowanego już co najmniej cztery razy od 2022 roku – podkreśla istnienie trwałej powierzchni podatności w jądrze Windows, którą Microsoft wciąż łata reaktywnie .

Co wyróżniało ten atak?

Lazarus prowadzi operację „Dream Job” od 2020 roku, ale ta fala przyniosła trzy istotne ulepszenia techniczne :

1. Nieznana wcześniej luka zero-day Windows (CVE-2026-68820) w sterowniku AFD.sys
2. Postkwantowa wymiana kluczy z użyciem Kyber/ML-KEM do szyfrowania ruchu dowodzenia
3. Nowy, modułowy backdoor o nazwie Troy, komunikujący się przez przejęte legalne serwery

Łańcuch ataku krok po kroku

1. Socjotechnika przez fałszywe oferty pracy

Ofiary były kontaktowane na LinkedIn i innych platformach. Atakujący podszywali się pod rekruterów z Lockheed Martin oraz firmy Enveil . Celom wysyłano opis stanowiska i link do materiałów „rekrutacyjnych”. Użyto dwóch równoległych łańcuchów infekcji :

• Łańcuch A (DLL sideloading): Ofiara pobierała archiwum ZIP zawierające legalny, podpisany cyfrowo plik wykonywalny przeglądarki PDF, złośliwą bibliotekę DLL (libmupdf.dll) oraz zaszyfrowany ładunek z rozszerzeniem .pdf.enc. Po uruchomieniu przeglądarki następowało sideloadowanie złośliwego DLL, który wyświetlał atrapę dokumentu PDF, jednocześnie w tle deszyfrując i wykonując właściwy ładunek .
• Łańcuch B (Sfałszowana przeglądarka PDF): Ofiara pobierała fałszywą aplikację SecurityPDF, podszywającą się pod legalną przeglądarkę opartą na MuPDF. Aplikacja wyglądała autentycznie, ale uruchamiała złośliwy kod po otwarciu spreparowanego pliku PDF .

2. Szyfrowanie postkwantowe chroni kanał dowodzenia

Po uruchomieniu pierwszego modułu ładującego, wdrażał on moduł zbierający informacje o systemie i kontaktował się z serwerem dowodzenia, żądając czterech kluczy publicznych. Moduł używał standardu Kyber/ML-KEM – zatwierdzonego przez NIST mechanizmu kapsułkowania kluczy odpornego na ataki komputerów kwantowych – do wygenerowania nowego materiału kluczowego, zapakowania wspólnego sekretu i wysłania go z powrotem do serwera przed pobraniem właściwego exploita .

Było to pierwsze udokumentowane użycie kryptografii postkwantowej przez Lazarus do ochrony dostarczania exploitu. Dzięki temu nawet w przypadku przechwycenia ruchu sieciowego kanał dowodzenia pozostawał nieczytelny dla przeciwników dysponujących komputerami kwantowymi .

3. Zero-day: CVE-2026-68820 w sterowniku AFD.sys

Dostarczony ładunek wykorzystywał CVE-2026-68820 – podatność typu use-after-free w sterowniku afd.sys, czyli sterowniku pomocniczym Windows (Ancillary Function Driver) obsługującym operacje Winsock w jądrze systemu . Kluczowe szczegóły techniczne:

• Wskaźnik CVSS: 7,0 (wysoki)
• Warunek wstępny: Atakujący musiał już mieć możliwość wykonania kodu w systemie ofiary z pierwszego modułu ładującego
• Mechanizm wykorzystania: Warunek wyścigu (race condition) – atakujący musiał wygrać rywalizację o czas, aby skutecznie zwolnić i ponownie przydzielić pamięć jądra, co pozwalało na uszkodzenie obiektów jądra i podniesienie uprawnień do poziomu SYSTEM
• Powtarzający się cel: Było to wykorzystanie tego samego sterownika (AFD.sys), który Lazarus atakował już co najmniej cztery razy od 2022 roku .

4. Wdrożenie rootkita jądra FudModule

Po uzyskaniu uprawnień SYSTEM exploit wdrażał uaktualnioną wersję FudModule – charakterystycznego dla Lazarusa rootkita działającego w trybie jądra . Ta wersja (określana jako FudModule v3.1) obsługiwała Windows 11 w wersjach 26100 i 26200 . FudModule działał z pełnym dostępem do jądra, umożliwiając:

• Wyłączenie narzędzi bezpieczeństwa EDR na poziomie jądra
• Oślepienie produktów ochronnych poprzez manipulację callbackami jądra i monitorowaniem procesów
• Ustanowienie trwałości i załadowanie dodatkowych, modułowych backdoorów, w tym MISTPEN i nowego backdoora Troy

5. Backdoor Troy i przejęta infrastruktura

Ostatni etap używał backdoora Troy – nowo udokumentowanego, modułowego narzędzia do zdalnego dostępu. Jego infrastruktura dowodzenia została zbudowana niemal w całości z przejętych legalnych serwerów. Atakujący nie tworzyli własnej infrastruktury, lecz kompromitowali serwery innych organizacji .

Kraje i sektory objęte atakiem

Reakcja i łatanie

Łatka Microsoft

• Microsoft wydał poprawkę 11 sierpnia 2026 r. (Patch Tuesday), łatając łącznie 398 podatności, w tym CVE-2026-68820
• Poprawka była wynikiem odpowiedzialnego ujawnienia przez Check Point Research, które zidentyfikowało wykorzystanie zero-day i zgłosiło je do Microsoft
• Microsoft oznaczył CVE-2026-68820 jako jedyną aktywnie wykorzystywaną podatność w tej aktualizacji

Nakaz CISA

• Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wydała wiążący Nakaz Nadzwyczajny (Emergency Directive), nakazujący wszystkim agencjom cywilnym władzy wykonawczej USA (FCEB) łatanie CVE-2026-68820
• Agencje miały czas do 25 sierpnia 2026 r. na zastosowanie poprawki
• CISA dodała podatność do swojego katalogu znanych podatności wykorzystywanych w atakach (KEV), co nakłada wymóg działania na wszystkie organizacje federalne i jest zalecane dla sektora prywatnego

Zalecane działania dla organizacji

• Natychmiast zastosuj aktualizacje z sierpniowego Patch Tuesday 2026, priorytetowo traktując CVE-2026-68820
• Monitoruj nietypową aktywność sterownika AFD.sys, nieoczekiwane ładowanie sterowników jądra i próby wyłączenia EDR
• Edukuj pracowników o fałszywych ofertach pracy i spreparowanych przeglądarkach PDF
• Wdróż detekcję ruchu związanego z wymianą kluczy Kyber/ML-KEM na nietypowych kanałach sieciowych

Dlaczego to jest ważne?

Kampania ta oznacza eskalację poziomu wyrafinowania sponsorowanego przez państwo aktora, który już jest jednym z najbardziej aktywnych. Użycie kryptografii postkwantowej do ochrony dostarczania exploitów sugeruje, że Lazarus monitoruje zdolności obronne i inwestuje w zabezpieczenie swoich operacji na przyszłość. Ponowne wykorzystanie tego samego sterownika AFD.sys – atakowanego już co najmniej cztery razy od 2022 roku – podkreśla istnienie trwałej powierzchni podatności w jądrze Windows, którą Microsoft wciąż łata reaktywnie .