O que Tornou Este Ataque Diferente

O Lazarus executa a Operação Dream Job desde 2020, mas esta onda introduziu três atualizações técnicas significativas :

1. Um zero-day desconhecido do Windows (CVE-2026-68820) no driver AFD.sys
2. Troca de chaves pós-quântica usando Kyber/ML-KEM para criptografar o tráfego de comando e controle
3. Um novo backdoor modular chamado Troy, comunicando-se por meio de servidores legítimos sequestrados

A Cadeia de Ataque, Passo a Passo

1. Engenharia Social via Falsas Ofertas de Emprego

As vítimas eram abordadas no LinkedIn e outras plataformas profissionais por operadores que se passavam por recrutadores da Lockheed Martin e da empresa de tecnologia de privacidade Enveil . Os alvos recebiam uma descrição de vaga e um link para baixar "materiais de entrevista". Duas cadeias de infecção paralelas foram usadas :

• Cadeia A (DLL sideloading): A vítima baixava um arquivo ZIP contendo um executável legítimo de visualizador de PDF, uma DLL maliciosa (libmupdf.dll) e um payload criptografado com extensão .pdf.enc. Ao ser executado, o visualizador de PDF carregava a DLL maliciosa, que exibia um PDF falso enquanto descriptografava e executava silenciosamente o payload .
• Cadeia B (Visualizador de PDF Trojanizado): A vítima baixava um aplicativo falso chamado SecurityPDF, que se passava por um visualizador de PDF legítimo baseado no MuPDF. Este visualizador trojanizado parecia legítimo, mas carregava código malicioso ao abrir um PDF especialmente criado .

2. Criptografia Pós-Quântica Protege o Canal C2

Assim que o loader inicial era executado, ele implantava um módulo de fingerprinting que contatava o servidor de comando e solicitava quatro chaves públicas. O módulo usava Kyber / ML-KEM — o mecanismo de encapsulamento de chaves pós-quântico padronizado pelo NIST — para gerar novo material de chave, encapsular um segredo compartilhado e enviar o resultado de volta ao servidor antes de solicitar o payload de exploração real .

Este foi o primeiro uso documentado de criptografia pós-quântica pelo Lazarus para proteger a entrega do exploit. A técnica garantia que, mesmo se o tráfego de rede fosse interceptado, o canal C2 não poderia ser descriptografado por adversários clássicos ou com capacidade quântica .

3. O Zero-Day: CVE-2026-68820 no AFD.sys

O payload entregue explorava a CVE-2026-68820, uma condição de 'use-after-free' em afd.sys, o driver de função auxiliar do Windows que lida com operações Winsock em modo kernel . Os principais detalhes técnicos incluem:

• Pontuação CVSS: 7.0 (alta)
• Pré-condição: O invasor já precisava ter execução local de código a partir do loader inicial
• Mecanismo de exploração: A condição de corrida precisava ser vencida para liberar e realocar memória do kernel com sucesso, permitindo ao invasor corromper objetos do kernel e obter elevação de privilégio local para SYSTEM
• Vetor recorrente: Este foi o mesmo driver (AFD.sys) que o Lazarus abusou em pelo menos quatro campanhas anteriores desde 2022, tornando-o uma superfície de ataque recorrente .

4. Implantação do Rootkit de Kernel FudModule

Após obter privilégios de SYSTEM, o exploit implantava uma versão atualizada do FudModule, o rootkit de modo kernel exclusivo do Lazarus . Esta versão — às vezes chamada de FudModule v3.1 — suportava as versões 26100 e 26200 do Windows 11 . O FudModule operava com acesso total ao kernel para:

• Desabilitar ferramentas de detecção e resposta de endpoints (EDR) no nível do kernel
• Cegar produtos de segurança adulterando callbacks do kernel e monitoramento de processos
• Estabelecer persistência e carregar backdoors modulares adicionais, incluindo MISTPEN e o novo backdoor Troy

5. Backdoor Troy e Infraestrutura Sequestrada

O estágio final usava o backdoor Troy, uma ferramenta de acesso remoto modular recentemente documentada. Sua infraestrutura de comando foi construída quase inteiramente a partir de servidores legítimos sequestrados — os invasores não construíram sua própria infraestrutura, mas sim comprometeram servidores de outras organizações .

Países e Setores Visados

Mitigação e Resposta

Patch da Microsoft

• A Microsoft lançou uma correção em 11 de agosto de 2026 (Patch Tuesday), corrigindo 398 CVEs, incluindo a CVE-2026-68820
• A correção seguiu a divulgação responsável pela Check Point Research, que identificou a exploração do zero-day e a reportou à Microsoft
• A Microsoft sinalizou a CVE-2026-68820 como a única vulnerabilidade ativamente explorada naquele mês

Diretiva de Emergência da CISA

• A Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA emitiu uma Diretiva de Emergência obrigatória ordenando que todas as agências do Poder Executivo Civil Federal (FCEB) dos EUA corrigissem a CVE-2026-68820
• As agências receberam um prazo até 25 de agosto de 2026 para aplicar o patch
• A CISA adicionou a vulnerabilidade ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), exigindo ação de todas as organizações federais e recomendando ação para todas as organizações do setor privado

Ações Recomendadas para Organizações

• Aplicar imediatamente as atualizações de agosto de 2026 da Microsoft, priorizando a CVE-2026-68820
• Monitorar atividades anômalas do AFD.sys, carregamentos inesperados de drivers de kernel e adulteração de EDR
• Educar os funcionários sobre iscas de falsos recrutadores e visualizadores de documentos trojanizados
• Implementar detecção em nível de rede para tráfego de troca de chaves Kyber/ML-KEM em canais inesperados

Por Que Isso Importa

Esta campanha representa uma escalada na sofisticação de um ator de ameaças patrocinado pelo Estado que já é um dos mais prolíficos. O uso de criptografia pós-quântica para proteger a entrega de exploits sugere que o Lazarus está monitorando capacidades defensivas e investindo em preparar suas operações para o futuro. A repetida exploração do mesmo driver AFD.sys — agora explorado pelo menos quatro vezes desde 2022 — destaca uma superfície de vulnerabilidade persistente no kernel do Windows que a Microsoft continua a corrigir de forma reativa .

O que Tornou Este Ataque Diferente

O Lazarus executa a Operação Dream Job desde 2020, mas esta onda introduziu três atualizações técnicas significativas :

1. Um zero-day desconhecido do Windows (CVE-2026-68820) no driver AFD.sys
2. Troca de chaves pós-quântica usando Kyber/ML-KEM para criptografar o tráfego de comando e controle
3. Um novo backdoor modular chamado Troy, comunicando-se por meio de servidores legítimos sequestrados

A Cadeia de Ataque, Passo a Passo

1. Engenharia Social via Falsas Ofertas de Emprego

As vítimas eram abordadas no LinkedIn e outras plataformas profissionais por operadores que se passavam por recrutadores da Lockheed Martin e da empresa de tecnologia de privacidade Enveil . Os alvos recebiam uma descrição de vaga e um link para baixar "materiais de entrevista". Duas cadeias de infecção paralelas foram usadas :

• Cadeia A (DLL sideloading): A vítima baixava um arquivo ZIP contendo um executável legítimo de visualizador de PDF, uma DLL maliciosa (libmupdf.dll) e um payload criptografado com extensão .pdf.enc. Ao ser executado, o visualizador de PDF carregava a DLL maliciosa, que exibia um PDF falso enquanto descriptografava e executava silenciosamente o payload .
• Cadeia B (Visualizador de PDF Trojanizado): A vítima baixava um aplicativo falso chamado SecurityPDF, que se passava por um visualizador de PDF legítimo baseado no MuPDF. Este visualizador trojanizado parecia legítimo, mas carregava código malicioso ao abrir um PDF especialmente criado .

2. Criptografia Pós-Quântica Protege o Canal C2

Assim que o loader inicial era executado, ele implantava um módulo de fingerprinting que contatava o servidor de comando e solicitava quatro chaves públicas. O módulo usava Kyber / ML-KEM — o mecanismo de encapsulamento de chaves pós-quântico padronizado pelo NIST — para gerar novo material de chave, encapsular um segredo compartilhado e enviar o resultado de volta ao servidor antes de solicitar o payload de exploração real .

Este foi o primeiro uso documentado de criptografia pós-quântica pelo Lazarus para proteger a entrega do exploit. A técnica garantia que, mesmo se o tráfego de rede fosse interceptado, o canal C2 não poderia ser descriptografado por adversários clássicos ou com capacidade quântica .

3. O Zero-Day: CVE-2026-68820 no AFD.sys

O payload entregue explorava a CVE-2026-68820, uma condição de 'use-after-free' em afd.sys, o driver de função auxiliar do Windows que lida com operações Winsock em modo kernel . Os principais detalhes técnicos incluem:

• Pontuação CVSS: 7.0 (alta)
• Pré-condição: O invasor já precisava ter execução local de código a partir do loader inicial
• Mecanismo de exploração: A condição de corrida precisava ser vencida para liberar e realocar memória do kernel com sucesso, permitindo ao invasor corromper objetos do kernel e obter elevação de privilégio local para SYSTEM
• Vetor recorrente: Este foi o mesmo driver (AFD.sys) que o Lazarus abusou em pelo menos quatro campanhas anteriores desde 2022, tornando-o uma superfície de ataque recorrente .

4. Implantação do Rootkit de Kernel FudModule

Após obter privilégios de SYSTEM, o exploit implantava uma versão atualizada do FudModule, o rootkit de modo kernel exclusivo do Lazarus . Esta versão — às vezes chamada de FudModule v3.1 — suportava as versões 26100 e 26200 do Windows 11 . O FudModule operava com acesso total ao kernel para:

• Desabilitar ferramentas de detecção e resposta de endpoints (EDR) no nível do kernel
• Cegar produtos de segurança adulterando callbacks do kernel e monitoramento de processos
• Estabelecer persistência e carregar backdoors modulares adicionais, incluindo MISTPEN e o novo backdoor Troy

5. Backdoor Troy e Infraestrutura Sequestrada

O estágio final usava o backdoor Troy, uma ferramenta de acesso remoto modular recentemente documentada. Sua infraestrutura de comando foi construída quase inteiramente a partir de servidores legítimos sequestrados — os invasores não construíram sua própria infraestrutura, mas sim comprometeram servidores de outras organizações .

Países e Setores Visados

Mitigação e Resposta

Patch da Microsoft

• A Microsoft lançou uma correção em 11 de agosto de 2026 (Patch Tuesday), corrigindo 398 CVEs, incluindo a CVE-2026-68820
• A correção seguiu a divulgação responsável pela Check Point Research, que identificou a exploração do zero-day e a reportou à Microsoft
• A Microsoft sinalizou a CVE-2026-68820 como a única vulnerabilidade ativamente explorada naquele mês

Diretiva de Emergência da CISA

• A Agência de Segurança Cibernética e de Infraestrutura (CISA) dos EUA emitiu uma Diretiva de Emergência obrigatória ordenando que todas as agências do Poder Executivo Civil Federal (FCEB) dos EUA corrigissem a CVE-2026-68820
• As agências receberam um prazo até 25 de agosto de 2026 para aplicar o patch
• A CISA adicionou a vulnerabilidade ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), exigindo ação de todas as organizações federais e recomendando ação para todas as organizações do setor privado

Ações Recomendadas para Organizações

• Aplicar imediatamente as atualizações de agosto de 2026 da Microsoft, priorizando a CVE-2026-68820
• Monitorar atividades anômalas do AFD.sys, carregamentos inesperados de drivers de kernel e adulteração de EDR
• Educar os funcionários sobre iscas de falsos recrutadores e visualizadores de documentos trojanizados
• Implementar detecção em nível de rede para tráfego de troca de chaves Kyber/ML-KEM em canais inesperados

Por Que Isso Importa

Esta campanha representa uma escalada na sofisticação de um ator de ameaças patrocinado pelo Estado que já é um dos mais prolíficos. O uso de criptografia pós-quântica para proteger a entrega de exploits sugere que o Lazarus está monitorando capacidades defensivas e investindo em preparar suas operações para o futuro. A repetida exploração do mesmo driver AFD.sys — agora explorado pelo menos quatro vezes desde 2022 — destaca uma superfície de vulnerabilidade persistente no kernel do Windows que a Microsoft continua a corrigir de forma reativa .