När drömjobbet blir en mardröm – Lazarus utnyttjade Windows-nolldagssårbarhet mot försvarsindustrin

Vad som gjorde denna attack annorlunda

Lazarus har drivit Operation Dream Job sedan 2020, men denna våg introducerade tre betydande tekniska uppgraderingar :

1. En tidigare okänd Windows-nolldagssårbarhet (CVE-2026-68820) i AFD.sys-drivrutinen
2. Post-kvantnyckelutbyte med Kyber/ML-KEM för att kryptera C2-trafik
3. En ny modulär bakdörr kallad Troy, som kommunicerar via kapade legitima servrar

Attackkedjan steg för steg

1. Social manipulation via falska jobberbjudanden

Offren kontaktades på LinkedIn och andra professionella plattformar av operatörer som utgav sig för att vara rekryterare från Lockheed Martin och säkerhetsföretaget Enveil . Måltavlorna fick en arbetsbeskrivning och en länk till nedladdningsbart "intervjumaterial". Två parallella infekteringskedjor användes :

• Kedja A (DLL-sidladdning): Offret laddade ner ett ZIP-arkiv som innehöll en legitim, digitalt signerad PDF-läsare, ett skadligt DLL-bibliotek (libmupdf.dll) och en krypterad nyttolast med filtillägget .pdf.enc. När PDF-läsaren startades laddades det skadliga DLL-biblioteket via DLL-sidladdning, visade en lockbetes-PDF samtidigt som den tyst dekrypterade och körde nyttolasten .
• Kedja B (Trojaniserad PDF-läsare): Offret laddade ner en falsk applikation kallad SecurityPDF, som utgav sig för att vara en legitim PDF-läsare baserad på MuPDF. Denna trojaniserade läsare såg legitim ut men laddade skadlig kod när en specialgjord PDF öppnades .

2. Post-kvantkryptering skyddar C2-kanalen

När den första laddaren väl körts distribuerade den en fingeravtrycksmodul som kontaktade kommandoservern och begärde fyra publika nycklar. Modulen använde Kyber / ML-KEM – NIST-standardiserad post-kvantnyckelkapslingsmekanism – för att generera nytt nyckelmaterial, kapsla in en delad hemlighet och skicka resultatet tillbaka till servern innan den begärde den faktiska exploateringsnyttolasten .

Detta var den första dokumenterade användningen av post-kvantkryptering av Lazarus för att skydda exploateringsleverans. Tekniken säkerställde att även om nätverkstrafik avlyssnades kunde C2-kanalen inte dekrypteras av klassiska eller kvantkapabla motståndare .

3. Nolldagssårbarheten: CVE-2026-68820 i AFD.sys

Den levererade nyttolasten utnyttjade CVE-2026-68820, en use-after-free-kapplöpningsrisk i afd.sys, Windows Ancillary Function Driver som hanterar kernel-mode Winsock-operationer . Viktiga tekniska detaljer inkluderar:

• CVSS-poäng: 7.0 (hög)
• Förutsättning: Angriparen behövde redan ha lokal kodkörning från den initiala laddaren
• Exploateringsmekanism: Kapplöpningsrisken måste vinnas för att framgångsrikt frigöra och omallokera kernelminne, vilket gör att angriparen kan korrumpera kärnobjekt och uppnå lokal privilegieeskalering till SYSTEM
• Återkommande vektor: Detta var samma drivrutin (AFD.sys) som Lazarus missbrukat i minst fyra tidigare kampanjer sedan 2022, vilket gör den till en återkommande attackyta .

4. Distribution av FudModule-kärnrotkit

Efter att SYSTEM-behörighet erhållits distribuerade exploateringen en uppgraderad version av FudModule, Lazarus signatur-kärnrotkit . Denna version – ibland kallad FudModule v3.1 – stödde Windows 11-builds 26100 och 26200 . FudModule opererade med full kärnåtkomst för att:

• Inaktivera endpoint detection and response (EDR)-verktyg på kärnnivå
• Blinda säkerhetsprodukter genom att manipulera kärncallbackar och processövervakning
• Etablera persistens och ladda ytterligare modulära bakdörrar, inklusive MISTPEN och den nya Troy-bakdörren

5. Troy-bakdörren och kapad infrastruktur

Det sista stadiet använde Troy-bakdörren, ett nydokumenterat modulärt fjärråtkomstverktyg. Dess kommandinfrastruktur var nästan helt byggd på kapade legitima servrar – angriparna byggde inte sin egen infrastruktur utan komprometterade istället andra organisationers servrar .

Länder och sektorer som drabbats

Åtgärder och respons

Microsofts patch

• Microsoft släppte en fix den 11 augusti 2026 (Patch Tuesday) som åtgärdade 398 CVE:er inklusive CVE-2026-68820
• Fixen följde ansvarsfull rapportering av Check Point Research, som identifierade nolldagsexploateringen och rapporterade den till Microsoft
• Microsoft flaggade CVE-2026-68820 som den enda aktivt exploaterade sårbarheten i den månadens uppdatering

CISA:s nöddirektiv

• Cybersecurity and Infrastructure Security Agency (CISA) utfärdade ett tvingande nöddirektiv som ålade alla amerikanska federala civila myndigheter (FCEB) att åtgärda CVE-2026-68820
• Myndigheterna fick deadline den 25 augusti 2026 att installera patchen
• CISA lade till sårbarheten i sin Known Exploited Vulnerabilities (KEV)-katalog, vilket kräver åtgärder av alla federala organisationer och rekommenderar åtgärder av alla privata organisationer

Rekommenderade åtgärder för organisationer

• Installera Microsofts Patch Tuesday-uppdateringar från augusti 2026 omedelbart, prioritera CVE-2026-68820
• Övervaka avvikande AFD.sys-aktivitet, oväntad laddning av kärndrivrutiner och EDR-manipulation
• Utbilda medarbetare om falska rekryterare och trojaniserade dokumentläsare
• Implementera nätverksdetektering för Kyber/ML-KEM-nyckelutbyte på oväntade kanaler

Varför detta är viktigt

Denna kampanj representerar en eskalering i sofistikation från en statsstödd hotaktör som redan är en av de mest produktiva. Användningen av post-kvantkryptering för att skydda leverans av exploateringar tyder på att Lazarus både övervakar defensiva förmågor och investerar i framtidssäkring av sina operationer. Det återkommande måltavlandet av samma AFD.sys-drivrutin – nu exploaterad minst fyra gånger sedan 2022 – belyser en bestående sårbarhetsyta i Windows-kärnan som Microsoft fortsätter att åtgärda reaktivt .