เปิดปฏิบัติการ Lazarus: Zero-Day Windows, การเข้ารหัส Kyber และการบุกรุกบริษัทป้องกันประเทศทั่วโลก

ในช่วงต้นปี 2026 กลุ่ม Lazarus จากเกาหลีเหนือได้ยกระดับปฏิบัติการ Operation Dream Job อันยาวนานของตน ด้วยห่วงโซ่การโจมตีที่ซับซ้อน ซึ่งจับคู่ช่องโหว่ゼロ-day ของเคอร์เนล Windows เข้ากับการเข้ารหัสหลังควอนตัม Check Point Research เป็นผู้ค้นพบแคมเปญนี้ และเปิดเผยช่องโหว่—CVE-2026-68820—ให้กับไมโครซอฟท์ ซึ่งได้ออกแพตช์ในวันที่ 11 สิงหาคม 2026 ซึ่งเป็นส่วนหนึ่งของ Patch Tuesday แคมเปญนี้มุ่งเป้าไปที่องค์กรด้านการป้องกันประเทศ การบินและอวกาศ และการบินในยุโรปตะวันตก อินเดีย และบราซิล โดยใช้กลอุบายปลอมตัวเป็นนายหน้าจ้างงาน โปรแกรมดู PDF ที่ถูกดัดแปลง และ backdoor ตัวใหม่ชื่อ Troy

อะไรที่ทำให้การโจมตีครั้งนี้แตกต่าง

Lazarus ดำเนินปฏิบัติการ Operation Dream Job มาตั้งแต่ปี 2020 แต่ในระลอกนี้ได้นำเสนอการอัปเกรดทางเทคนิคที่สำคัญสามประการ :

1. ช่องโหว่ゼロ-day ที่ไม่รู้จักมาก่อนของ Windows (CVE-2026-68820) ในไดรเวอร์ AFD.sys
2. การแลกเปลี่ยนคีย์หลังควอนตัม โดยใช้ Kyber/ML-KEM เพื่อเข้ารหัสการรับส่งข้อมูลระหว่าง命令และการควบคุม
3. backdoor แบบโมดูลาร์ตัวใหม่ ที่ชื่อ Troy สื่อสารผ่านเซิร์ฟเวอร์ที่ถูกแฮ็ก

ห่วงโซ่การโจมตี ทีละขั้นตอน

1. วิศวกรรมสังคมผ่านข้อเสนองานปลอม

เหยื่อถูกติดต่อผ่าน LinkedIn และแพลตฟอร์มมืออาชีพอื่นๆ โดยผู้ปฏิบัติการที่ปลอมตัวเป็นนายหน้าจ้างงานจาก Lockheed Martin และบริษัทเทคโนโลยีความเป็นส่วนตัว Enveil เหยื่อได้รับรายละเอียดงานและลิงก์สำหรับดาวน์โหลด "เอกสารสัมภาษณ์" มีการใช้ห่วงโซ่การติดเชื้อสองแบบที่ทำงานคู่ขนานกัน :

• Chain A (การแทรก DLL): เหยื่อดาวน์โหลดไฟล์ ZIP ที่มีไฟล์ปฏิบัติการของโปรแกรมดู PDF ที่ถูกต้องตามกฎหมายและเซ็นชื่อแบบดิจิทัล ไฟล์ DLL ที่เป็นอันตราย (libmupdf.dll) และเพย์โหลดที่เข้ารหัสด้วยนามสกุล .pdf.enc เมื่อเปิดตัว โปรแกรมดู PDF จะโหลด DLL ที่เป็นอันตราย ซึ่งจะแสดง PDF ปลอมในขณะที่ถอดรหัสและรันเพย์โหลดอย่างเงียบๆ
• Chain B (โปรแกรมดู PDF ที่ถูกดัดแปลง): เหยื่อดาวน์โหลดแอปพลิเคชันปลอมชื่อ SecurityPDF ซึ่งปลอมตัวเป็นโปรแกรมดู PDF ที่ถูกต้องตามกฎหมายโดยใช้ MuPDF โปรแกรมดูที่ถูกดัดแปลงนี้ดูเหมือนถูกต้องตามกฎหมาย แต่จะโหลดโค้ดที่เป็นอันตรายเมื่อเปิด PDF ที่ถูกสร้างขึ้นมาเป็นพิเศษ

2. การเข้ารหัสหลังควอนตัมปกป้องช่องสัญญาณ C2

เมื่อตัวโหลดเริ่มต้นทำงาน มันจะปรับใช้โมดูลลายนิ้วมือที่ติดต่อเซิร์ฟเวอร์คำสั่งและขอคีย์สาธารณะสี่คีย์ โมดูลนี้ใช้ Kyber / ML-KEM—กลไกการหุ้มห่อคีย์หลังควอนตัมที่ได้มาตรฐานโดย NIST—เพื่อสร้างวัสดุคีย์ใหม่ หุ้มห่อคีย์ลับร่วม และส่งผลลัพธ์กลับไปยังเซิร์ฟเวอร์ก่อนที่จะขอเพย์โหลดโจมตีจริง

นี่คือ การบันทึกการใช้การเข้ารหัสหลังควอนตัมครั้งแรกโดย Lazarus เพื่อปกป้องการส่งมอบการโจมตี เทคนิคนี้ทำให้แน่ใจว่าแม้ว่าการรับส่งข้อมูลเครือข่ายจะถูกดักจับ ช่องสัญญาณ C2 ก็ไม่สามารถถอดรหัสได้โดยผู้โจมตีทั้งแบบคลาสสิกและแบบควอนตัม

3. ช่องโหว่ゼロ-day: CVE-2026-68820 ใน AFD.sys

เพย์โหลดที่ส่งมาใช้ประโยชน์จาก CVE-2026-68820 ซึ่งเป็นช่องโหว่ use-after-free race condition ใน afd.sys ซึ่งเป็นไดรเวอร์ Ancillary Function Driver ของ Windows ที่จัดการการดำเนินการ Winsock ในโหมดเคอร์เนล รายละเอียดทางเทคนิคที่สำคัญ ได้แก่:

• คะแนน CVSS: 7.0 (สูง)
• เงื่อนไขเบื้องต้น: ผู้โจมตีจำเป็นต้องมีการรันโค้ดภายในเครื่องจากตัวโหลดเริ่มต้นแล้ว
• กลไกการโจมตี: ต้องชนะ race condition เพื่อให้สามารถปลดปล่อยและจัดสรรหน่วยความจำเคอร์เนลใหม่ได้สำเร็จ ทำให้ผู้โจมตีสามารถทำให้วัตถุเคอร์เนลเสียหายและบรรลุการยกระดับสิทธิ์ภายในเครื่องเป็น SYSTEM
• เวกเตอร์ที่เกิดซ้ำ: นี่คือ ไดรเวอร์เดียวกัน (AFD.sys) ที่ Lazarus ใช้ในทางที่ผิดในแคมเปญอย่างน้อยสี่ครั้งก่อนหน้านี้ ตั้งแต่ปี 2022 ทำให้เป็นพื้นผิวการโจมตีที่เกิดขึ้นซ้ำๆ

4. การปรับใช้ FudModule Kernel Rootkit

หลังจากได้รับสิทธิ์ SYSTEM แล้ว การโจมตีได้ปรับใช้เวอร์ชันอัปเกรดของ FudModule ซึ่งเป็น rootkit โหมดเคอร์เนลที่เป็นเอกลักษณ์ของ Lazarus เวอร์ชันนี้—บางครั้งเรียกว่า FudModule v3.1—รองรับ Windows 11 บิลด์ 26100 และ 26200 FudModule ทำงานด้วยการเข้าถึงเคอร์เนลอย่างเต็มรูปแบบเพื่อ:

• ปิดการทำงานเครื่องมือตรวจจับและตอบสนองจุดสิ้นสุด (EDR) ในระดับเคอร์เนล
• ทำให้ผลิตภัณฑ์ความปลอดภัยมองไม่เห็น โดยการรบกวนการเรียกกลับของเคอร์เนลและการตรวจสอบกระบวนการ
• สร้างความคงอยู่ และโหลด backdoor แบบโมดูลาร์เพิ่มเติม รวมถึง MISTPEN และ backdoor ตัวใหม่ Troy

5. Troy Backdoor และโครงสร้างพื้นฐานที่ถูกแฮ็ก

ขั้นตอนสุดท้ายใช้ Troy backdoor ซึ่งเป็นเครื่องมือการเข้าถึงระยะไกลแบบโมดูลาร์ที่เพิ่งมีการบันทึกใหม่ โครงสร้างพื้นฐานคำสั่งของมันถูกสร้างขึ้นเกือบทั้งหมดจาก เซิร์ฟเวอร์ที่ถูกต้องตามกฎหมายที่ถูกแฮ็ก—ผู้โจมตีไม่ได้สร้างโครงสร้างพื้นฐานของตนเอง แต่กลับเจาะระบบเซิร์ฟเวอร์ขององค์กรอื่น

ประเทศและภาคส่วนที่ตกเป็นเป้าหมาย

หมวดหมู่	รายละเอียด
ภาคส่วนเป้าหมาย	การป้องกันประเทศ การบินและอวกาศ การบิน
ประเทศที่ได้รับการยืนยัน	ฝรั่งเศส เยอรมนี (ยุโรปตะวันตก) อินเดีย บราซิล
ไทม์ไลน์	การโจมตีเริ่มต้นอย่างน้อยตั้งแต่ต้นเดือนกรกฎาคม 2026 โดยพบการโจมตีตั้งแต่เดือนมิถุนายน

การบรรเทาผลกระทบและการตอบสนอง

แพตช์ของไมโครซอฟท์

• ไมโครซอฟท์ออกการแก้ไขใน วันที่ 11 สิงหาคม 2026 (Patch Tuesday) โดยแก้ไขช่องโหว่ 398 CVE รวมถึง CVE-2026-68820
• การแก้ไขเป็นไปตาม การเปิดเผยข้อมูลอย่างรับผิดชอบโดย Check Point Research ซึ่งระบุการโจมตีช่องโหว่ゼロ-day และรายงานให้ไมโครซอฟท์ทราบ
• ไมโครซอฟท์ระบุว่า CVE-2026-68820 เป็น ช่องโหว่เดียวที่ถูกโจมตีในโลกจริง ในรุ่นนั้น

คำสั่งฉุกเฉินของ CISA

• สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ออก คำสั่งฉุกเฉินที่มีผลบังคับใช้ สั่งให้หน่วยงานสาขาพลเรือนของรัฐบาลกลางสหรัฐฯ (FCEB) ทั้งหมดแก้ไข CVE-2026-68820
• หน่วยงานต่างๆ ได้รับ กำหนดเส้นตายภายในวันที่ 25 สิงหาคม 2026 เพื่อติดตั้งแพตช์
• CISA เพิ่มช่องโหว่นี้ลงใน แค็ตตาล็อกช่องโหว่ที่ถูกโจมตี (KEV) ซึ่งกำหนดให้องค์กรของรัฐบาลกลางทั้งหมดต้องดำเนินการ และแนะนำให้องค์กรภาคเอกชนทั้งหมดดำเนินการ

การดำเนินการที่แนะนำสำหรับองค์กร

• ติดตั้งการอัปเดต Patch Tuesday เดือนสิงหาคม 2026 ของไมโครซอฟท์ทันที โดยจัดลำดับความสำคัญของ CVE-2026-68820
• ตรวจสอบกิจกรรม AFD.sys ที่ผิดปกติ การโหลดไดรเวอร์เคอร์เนลที่ไม่คาดคิด และการรบกวน EDR
• ให้ความรู้พนักงานเกี่ยวกับกลอุบายนายหน้าจ้างงานปลอมและโปรแกรมดูเอกสารที่ถูกดัดแปลง
• ใช้การตรวจจับระดับเครือข่ายสำหรับการรับส่งข้อมูลการแลกเปลี่ยนคีย์ Kyber/ML-KEM บนช่องทางที่ไม่คาดคิด

เหตุใดเรื่องนี้จึงสำคัญ

แคมเปญนี้แสดงถึงการเพิ่มขีดความสามารถที่ซับซ้อนจากผู้คุกคามที่ได้รับการสนับสนุนจากรัฐ ซึ่งเป็นหนึ่งในกลุ่มที่มีประสิทธิผลมากที่สุดอยู่แล้ว การใช้การเข้ารหัสหลังควอนตัมเพื่อปกป้องการส่งมอบการโจมตีบ่งชี้ว่า Lazarus กำลังเฝ้าติดตามขีดความสามารถในการป้องกันและลงทุนในการปรับปรุงการปฏิบัติการให้ทันสมัยในอนาคต การโจมตีไดรเวอร์ AFD.sys ตัวเดียวกันซ้ำแล้วซ้ำอีก—ซึ่งถูกโจมตีอย่างน้อยสี่ครั้งตั้งแต่ปี 2022—เน้นย้ำถึงพื้นผิวช่องโหว่ที่คงอยู่ในเคอร์เนล Windows ซึ่งไมโครซอฟท์ยังคงแก้ไขในเชิงรับ