Хоча кампанія Operation Dream Job триває з 2020 року, ця хвиля кардинально відрізнялася від попередніх. Lazarus застосував одразу три технологічні прориви: раніше невідомий zero-day у драйвері AFD.sys, постквантовий обмін ключами для шифрування трафіку до командних серверів і новий модульний бекдор під кодовою назвою Troy .

Як відбувалася атака: покроковий ланцюжок

1. Соціальна інженерія через фейкові вакансії

Атака починалася з підходу до жертв на LinkedIn та інших професійних платформах. Зловмисники видавали себе за рекрутерів з компаній Lockheed Martin та Enveil — відомого розробника технологій конфіденційності . Жертві надсилали опис вакансії та посилання на "матеріали для співбесіди" .

Дослідники виявили два паралельні сценарії зараження :

• Ланцюжок A (DLL-сідлоадінг): Жертва завантажувала ZIP-архів, який містив легітимний, цифрово підписаний виконуваний файл переглядача PDF, шкідливу DLL (libmupdf.dll) та зашифрований файл із розширенням .pdf.enc. Коли користувач запускав переглядач PDF, він завантажував шкідливу DLL, яка відображала нешкідливий PDF-документ, але у фоновому режимі розшифровувала та запускала шкідливе навантаження .
• Ланцюжок B (троянізований переглядач PDF): Жертва завантажувала фейковий додаток під назвою SecurityPDF, який імітував легітимний переглядач PDF на основі MuPDF. Цей додаток виглядав справжнім, але завантажував шкідливий код після відкриття спеціально створеного PDF-файлу .

2. Постквантове шифрування захищає канал зв'язку

Після запуску початкового завантажувача, він розгортав модуль збору даних про систему, який звертався до командного сервера (C2) і запитував чотири публічні ключі . Для захисту каналу використовувався алгоритм Kyber / ML-KEM — стандартизований NIST механізм інкапсуляції ключів, стійкий до квантових обчислень .

Це перший задокументований випадок використання Lazarus постквантового шифрування для захисту доставки експлойту. Техніка гарантувала, що навіть при перехопленні мережевого трафіку, канал C2 неможливо було розшифрувати ані за допомогою класичних, ані квантових методів .

3. Zero-day: CVE-2026-68820 у драйвері AFD.sys

Завантажене шкідливе навантаження використовувало вразливість CVE-2026-68820 — use-after-free ("використання після звільнення") через стан перегонів у драйвері afd.sys . Це ядро драйвера Ancillary Function Driver (AFD) відповідає за роботу Winsock на рівні ядра Windows.

Ключові технічні деталі:

• Оцінка CVSS: 7.0 (високий рівень)
• Передумова: Зловмисник вже повинен мати можливість локального виконання коду (отриманого від початкового завантажувача)
• Механізм експлуатації: Для успішної атаки необхідно було виграти стан перегонів, щоб звільнити та перерозподілити пам'ять ядра, що дозволяло пошкодити об'єкти ядра та отримати привілеї SYSTEM
• Повторювана мішень: Це вже щонайменше четверта атака Lazarus, починаючи з 2022 року, на один і той самий драйвер AFD.sys, що робить його постійною поверхнею атаки

4. Розгортання руткіта FudModule

Отримавши привілеї SYSTEM, експлойт розгортав оновлену версію FudModule — фірмового руткіта Lazarus для ядра . Ця версія (FudModule v3.1) підтримувала збірки Windows 11 26100 та 26200 . FudModule мав повний доступ до ядра, що дозволяло:

• Вимкнути інструменти захисту кінцевих точок (EDR) на рівні ядра
• Осліпити продукти безпеки, маніпулюючи зворотними викликами ядра та моніторингом процесів
• Забезпечити постійність у системі та завантажити додаткові модульні бекдори, зокрема MISTPEN та новий бекдор Troy

5. Бекдор Troy та захоплена інфраструктура

Фінальна стадія використовувала новий модульний інструмент віддаленого доступу Troy. Його командна інфраструктура майже повністю складалася з захоплених легітимних серверів — зловмисники не будували власну інфраструктуру, а зламували сервери інших організацій .

Які країни та сектори постраждали

Заходи реагування та пом'якшення

Патч від Microsoft

• Microsoft випустила виправлення 11 серпня 2026 року (Patch Tuesday), усунувши 398 CVE, включаючи CVE-2026-68820
• Виправлення стало результатом відповідального розкриття інформації Check Point Research, яка виявила експлуатацію zero-day та повідомила про це Microsoft
• Microsoft позначила CVE-2026-68820 як єдину активно експлуатовану вразливість у цьому випуску

Надзвичайна директива CISA

• Агентство з кібербезпеки та захисту інфраструктури США (CISA) видало обов'язкову надзвичайну директиву, зобов'язавши всі агентства федерального цивільного уряду США (FCEB) усунути CVE-2026-68820
• Агентства отримали термін до 25 серпня 2026 року для встановлення патча
• CISA додала вразливість до свого каталогу відомих експлуатованих вразливостей (KEV), що вимагає дій від усіх федеральних організацій та рекомендує дії всім організаціям приватного сектору

Рекомендовані дії для організацій

• Негайно встановити серпневе оновлення Patch Tuesday від Microsoft, першочергово усунувши CVE-2026-68820
• Моніторити аномальну активність AFD.sys, неочікуване завантаження драйверів ядра та спроби втручання в роботу EDR
• Провести навчання співробітників щодо фальшивих пропозицій роботи та троянізованих переглядачів документів
• Впровадити виявлення трафіку обміну ключами Kyber/ML-KEM на неочікуваних каналах на рівні мережі

Чому це важливо

Ця кампанія демонструє значне підвищення рівня складності з боку державного спонсорованого угруповання, яке й так є одним із найпродуктивніших. Використання постквантового шифрування для захисту доставки експлойту свідчить про те, що Lazarus відстежує оборонні можливості та інвестує в "майбутнє" своїх операцій. А повторювана експлуатація одного й того самого драйвера AFD.sys — щонайменше чотири рази з 2022 року — підкреслює постійну вразливу поверхню в ядрі Windows, яку Microsoft продовжує латати реактивно .

Хоча кампанія Operation Dream Job триває з 2020 року, ця хвиля кардинально відрізнялася від попередніх. Lazarus застосував одразу три технологічні прориви: раніше невідомий zero-day у драйвері AFD.sys, постквантовий обмін ключами для шифрування трафіку до командних серверів і новий модульний бекдор під кодовою назвою Troy .

Як відбувалася атака: покроковий ланцюжок

1. Соціальна інженерія через фейкові вакансії

Атака починалася з підходу до жертв на LinkedIn та інших професійних платформах. Зловмисники видавали себе за рекрутерів з компаній Lockheed Martin та Enveil — відомого розробника технологій конфіденційності . Жертві надсилали опис вакансії та посилання на "матеріали для співбесіди" .

Дослідники виявили два паралельні сценарії зараження :

• Ланцюжок A (DLL-сідлоадінг): Жертва завантажувала ZIP-архів, який містив легітимний, цифрово підписаний виконуваний файл переглядача PDF, шкідливу DLL (libmupdf.dll) та зашифрований файл із розширенням .pdf.enc. Коли користувач запускав переглядач PDF, він завантажував шкідливу DLL, яка відображала нешкідливий PDF-документ, але у фоновому режимі розшифровувала та запускала шкідливе навантаження .
• Ланцюжок B (троянізований переглядач PDF): Жертва завантажувала фейковий додаток під назвою SecurityPDF, який імітував легітимний переглядач PDF на основі MuPDF. Цей додаток виглядав справжнім, але завантажував шкідливий код після відкриття спеціально створеного PDF-файлу .

2. Постквантове шифрування захищає канал зв'язку

Після запуску початкового завантажувача, він розгортав модуль збору даних про систему, який звертався до командного сервера (C2) і запитував чотири публічні ключі . Для захисту каналу використовувався алгоритм Kyber / ML-KEM — стандартизований NIST механізм інкапсуляції ключів, стійкий до квантових обчислень .

Це перший задокументований випадок використання Lazarus постквантового шифрування для захисту доставки експлойту. Техніка гарантувала, що навіть при перехопленні мережевого трафіку, канал C2 неможливо було розшифрувати ані за допомогою класичних, ані квантових методів .

3. Zero-day: CVE-2026-68820 у драйвері AFD.sys

Завантажене шкідливе навантаження використовувало вразливість CVE-2026-68820 — use-after-free ("використання після звільнення") через стан перегонів у драйвері afd.sys . Це ядро драйвера Ancillary Function Driver (AFD) відповідає за роботу Winsock на рівні ядра Windows.

Ключові технічні деталі:

• Оцінка CVSS: 7.0 (високий рівень)
• Передумова: Зловмисник вже повинен мати можливість локального виконання коду (отриманого від початкового завантажувача)
• Механізм експлуатації: Для успішної атаки необхідно було виграти стан перегонів, щоб звільнити та перерозподілити пам'ять ядра, що дозволяло пошкодити об'єкти ядра та отримати привілеї SYSTEM
• Повторювана мішень: Це вже щонайменше четверта атака Lazarus, починаючи з 2022 року, на один і той самий драйвер AFD.sys, що робить його постійною поверхнею атаки

4. Розгортання руткіта FudModule

Отримавши привілеї SYSTEM, експлойт розгортав оновлену версію FudModule — фірмового руткіта Lazarus для ядра . Ця версія (FudModule v3.1) підтримувала збірки Windows 11 26100 та 26200 . FudModule мав повний доступ до ядра, що дозволяло:

• Вимкнути інструменти захисту кінцевих точок (EDR) на рівні ядра
• Осліпити продукти безпеки, маніпулюючи зворотними викликами ядра та моніторингом процесів
• Забезпечити постійність у системі та завантажити додаткові модульні бекдори, зокрема MISTPEN та новий бекдор Troy

5. Бекдор Troy та захоплена інфраструктура

Фінальна стадія використовувала новий модульний інструмент віддаленого доступу Troy. Його командна інфраструктура майже повністю складалася з захоплених легітимних серверів — зловмисники не будували власну інфраструктуру, а зламували сервери інших організацій .

Які країни та сектори постраждали

Заходи реагування та пом'якшення

Патч від Microsoft

• Microsoft випустила виправлення 11 серпня 2026 року (Patch Tuesday), усунувши 398 CVE, включаючи CVE-2026-68820
• Виправлення стало результатом відповідального розкриття інформації Check Point Research, яка виявила експлуатацію zero-day та повідомила про це Microsoft
• Microsoft позначила CVE-2026-68820 як єдину активно експлуатовану вразливість у цьому випуску

Надзвичайна директива CISA

• Агентство з кібербезпеки та захисту інфраструктури США (CISA) видало обов'язкову надзвичайну директиву, зобов'язавши всі агентства федерального цивільного уряду США (FCEB) усунути CVE-2026-68820
• Агентства отримали термін до 25 серпня 2026 року для встановлення патча
• CISA додала вразливість до свого каталогу відомих експлуатованих вразливостей (KEV), що вимагає дій від усіх федеральних організацій та рекомендує дії всім організаціям приватного сектору

Рекомендовані дії для організацій

• Негайно встановити серпневе оновлення Patch Tuesday від Microsoft, першочергово усунувши CVE-2026-68820
• Моніторити аномальну активність AFD.sys, неочікуване завантаження драйверів ядра та спроби втручання в роботу EDR
• Провести навчання співробітників щодо фальшивих пропозицій роботи та троянізованих переглядачів документів
• Впровадити виявлення трафіку обміну ключами Kyber/ML-KEM на неочікуваних каналах на рівні мережі

Чому це важливо

Ця кампанія демонструє значне підвищення рівня складності з боку державного спонсорованого угруповання, яке й так є одним із найпродуктивніших. Використання постквантового шифрування для захисту доставки експлойту свідчить про те, що Lazarus відстежує оборонні можливості та інвестує в "майбутнє" своїх операцій. А повторювана експлуатація одного й того самого драйвера AFD.sys — щонайменше чотири рази з 2022 року — підкреслює постійну вразливу поверхню в ядрі Windows, яку Microsoft продовжує латати реактивно .