Điều gì khiến cuộc tấn công này khác biệt?

Lazarus đã vận hành Operation Dream Job từ năm 2020, nhưng làn sóng này có ba nâng cấp kỹ thuật đáng chú ý :

1. Một lỗi zero-day Windows chưa từng biết (CVE-2026-68820) trong driver AFD.sys
2. Trao đổi khóa hậu lượng tử sử dụng Kyber/ML-KEM để mã hóa lưu lượng C2
3. Một backdoor dạng module mới tên Troy, giao tiếp qua các máy chủ hợp pháp bị chiếm quyền

Chuỗi tấn công từng bước

1. Kỹ thuật xã hội qua lời mời việc làm giả

Nạn nhân bị tiếp cận trên LinkedIn và các nền tảng chuyên nghiệp khác bởi những đối tượng mạo danh nhà tuyển dụng của Lockheed Martin và công ty công nghệ bảo mật Enveil . Mục tiêu nhận được mô tả công việc và một liên kết tải xuống "tài liệu phỏng vấn". Hai chuỗi lây nhiễm song song được sử dụng :

• Chuỗi A (DLL sideloading): Nạn nhân tải xuống một tệp ZIP chứa tệp thực thi trình xem PDF hợp lệ, có chữ ký số, một DLL độc hại (libmupdf.dll) và một payload được mã hóa với phần mở rộng .pdf.enc. Khi khởi chạy, trình xem PDF sẽ tải DLL độc hại (sideload), hiển thị một PDF giả trong khi âm thầm giải mã và thực thi payload .
• Chuỗi B (Trình xem PDF bị mã độc hóa): Nạn nhân tải xuống một ứng dụng giả mạo có tên SecurityPDF, mạo danh một trình xem PDF hợp pháp dựa trên MuPDF. Ứng dụng này trông có vẻ hợp pháp nhưng tải mã độc khi mở một tệp PDF được chế tạo đặc biệt .

2. Mã hóa hậu lượng tử bảo vệ kênh C2

Khi loader ban đầu được thực thi, nó triển khai một module thu thập dấu vết, liên hệ với máy chủ chỉ huy và yêu cầu bốn khóa công khai. Module này sử dụng Kyber / ML-KEM – cơ chế đóng gói khóa hậu lượng tử đã được NIST chuẩn hóa – để tạo khóa mới, đóng gói một bí mật dùng chung và gửi kết quả trở lại máy chủ trước khi yêu cầu payload khai thác thực tế .

Đây là lần đầu tiên ghi nhận Lazarus sử dụng mã hóa hậu lượng tử để bảo vệ quá trình phân phối exploit. Kỹ thuật này đảm bảo rằng ngay cả khi lưu lượng mạng bị chặn, kênh C2 cũng không thể bị giải mã bởi các đối thủ sử dụng máy tính cổ điển hoặc lượng tử .

3. Zero-Day: CVE-2026-68820 trong AFD.sys

Payload được phân phối đã khai thác CVE-2026-68820, một lỗi use-after-free (sử dụng sau khi giải phóng) trong điều kiện race condition (tranh chấp luồng) của afd.sys, driver chức năng phụ trợ của Windows xử lý các hoạt động Winsock ở chế độ nhân . Thông tin kỹ thuật chính:

• Điểm CVSS: 7.0 (cao)
• Điều kiện tiên quyết: Kẻ tấn công đã phải có khả năng thực thi mã cục bộ từ loader ban đầu
• Cơ chế khai thác: Phải thắng được race condition để giải phóng và cấp phát lại bộ nhớ kernel thành công, cho phép kẻ tấn công làm hỏng các đối tượng kernel và đạt được leo thang đặc quyền lên SYSTEM
• Điểm đáng chú ý: Đây là cùng một driver (AFD.sys) mà Lazarus đã lạm dụng trong ít nhất bốn chiến dịch trước đó kể từ năm 2022, biến nó thành một bề mặt tấn công tái diễn .

4. Triển khai rootkit nhân FudModule

Sau khi đạt được đặc quyền SYSTEM, exploit triển khai một phiên bản nâng cấp của FudModule, rootkit chế độ nhân đặc trưng của Lazarus . Phiên bản này (đôi khi được gọi là FudModule v3.1) hỗ trợ Windows 11 build 26100 và 26200 . FudModule hoạt động với toàn quyền truy cập kernel để:

• Vô hiệu hóa các công cụ phát hiện và phản hồi điểm cuối (EDR) ở cấp độ kernel
• Làm mù các sản phẩm bảo mật bằng cách can thiệp vào các callback kernel và giám sát tiến trình
• Thiết lập sự tồn tại dai dẳng và tải các backdrop dạng module bổ sung, bao gồm MISTPEN và backdoor mới Troy

5. Backdoor Troy và hạ tầng bị chiếm quyền

Giai đoạn cuối sử dụng backdoor Troy, một công cụ truy cập từ xa dạng module mới được ghi nhận. Hạ tầng chỉ huy của nó được xây dựng gần như hoàn toàn từ các máy chủ hợp pháp bị chiếm quyền – tin tặc không tự xây dựng hạ tầng riêng của mình mà xâm phạm máy chủ của các tổ chức khác .

Các quốc gia và lĩnh vực bị nhắm mục tiêu

Giảm thiểu và ứng phó

Bản vá của Microsoft

• Microsoft đã phát hành bản sửa lỗi vào ngày 11/8/2026 (Patch Tuesday), vá 398 CVE bao gồm CVE-2026-68820
• Bản sửa lỗi được đưa ra sau quy trình tiết lộ có trách nhiệm của Check Point Research, đơn vị đã xác định việc khai thác zero-day và báo cáo cho Microsoft
• Microsoft đánh dấu CVE-2026-68820 là lỗ hổng duy nhất bị khai thác tích cực trong đợt phát hành tháng đó

Chỉ thị khẩn cấp của CISA

• Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) đã ban hành Chỉ thị khẩn cấp bắt buộc yêu cầu tất cả các cơ quan của Nhánh Hành pháp Dân sự Liên bang Hoa Kỳ (FCEB) khắc phục lỗ hổng CVE-2026-68820
• Các cơ quan được ấn định hạn chót là ngày 25/8/2026 để áp dụng bản vá
• CISA đã thêm lỗ hổng này vào danh mục Lỗ hổng đã biết bị khai thác (KEV), yêu cầu tất cả các tổ chức liên bang phải hành động và khuyến nghị tất cả các tổ chức khu vực tư nhân cũng làm như vậy

Các hành động được khuyến nghị cho tổ chức

• Áp dụng ngay các bản cập nhật Patch Tuesday tháng 8/2026 của Microsoft, ưu tiên CVE-2026-68820
• Giám sát hoạt động bất thường của AFD.sys, việc tải driver kernel không mong muốn và hành vi can thiệp EDR
• Giáo dục nhân viên về các mồi nhử tuyển dụng giả và trình xem tài liệu bị mã độc hóa
• Triển khai tính năng phát hiện ở cấp độ mạng đối với lưu lượng trao đổi khóa Kyber/ML-KEM trên các kênh không mong muốn

Tại sao điều này lại quan trọng

Chiến dịch này đánh dấu sự leo thang về độ tinh vi từ một tác nhân đe dọa do nhà nước bảo trợ vốn đã là một trong những nhóm hoạt động mạnh nhất. Việc sử dụng mã hóa hậu lượng tử để bảo vệ quá trình phân phối exploit cho thấy rằng Lazarus vừa đang theo dõi các khả năng phòng thủ, vừa đầu tư vào việc bảo vệ các hoạt động của mình trước tương lai. Việc liên tục nhắm mục tiêu vào cùng một driver AFD.sys – đã bị khai thác ít nhất bốn lần kể từ năm 2022 – làm nổi bật một bề mặt lỗ hổng dai dẳng trong nhân Windows mà Microsoft vẫn phải vá một cách bị động .

Điều gì khiến cuộc tấn công này khác biệt?

Lazarus đã vận hành Operation Dream Job từ năm 2020, nhưng làn sóng này có ba nâng cấp kỹ thuật đáng chú ý :

1. Một lỗi zero-day Windows chưa từng biết (CVE-2026-68820) trong driver AFD.sys
2. Trao đổi khóa hậu lượng tử sử dụng Kyber/ML-KEM để mã hóa lưu lượng C2
3. Một backdoor dạng module mới tên Troy, giao tiếp qua các máy chủ hợp pháp bị chiếm quyền

Chuỗi tấn công từng bước

1. Kỹ thuật xã hội qua lời mời việc làm giả

Nạn nhân bị tiếp cận trên LinkedIn và các nền tảng chuyên nghiệp khác bởi những đối tượng mạo danh nhà tuyển dụng của Lockheed Martin và công ty công nghệ bảo mật Enveil . Mục tiêu nhận được mô tả công việc và một liên kết tải xuống "tài liệu phỏng vấn". Hai chuỗi lây nhiễm song song được sử dụng :

• Chuỗi A (DLL sideloading): Nạn nhân tải xuống một tệp ZIP chứa tệp thực thi trình xem PDF hợp lệ, có chữ ký số, một DLL độc hại (libmupdf.dll) và một payload được mã hóa với phần mở rộng .pdf.enc. Khi khởi chạy, trình xem PDF sẽ tải DLL độc hại (sideload), hiển thị một PDF giả trong khi âm thầm giải mã và thực thi payload .
• Chuỗi B (Trình xem PDF bị mã độc hóa): Nạn nhân tải xuống một ứng dụng giả mạo có tên SecurityPDF, mạo danh một trình xem PDF hợp pháp dựa trên MuPDF. Ứng dụng này trông có vẻ hợp pháp nhưng tải mã độc khi mở một tệp PDF được chế tạo đặc biệt .

2. Mã hóa hậu lượng tử bảo vệ kênh C2

Khi loader ban đầu được thực thi, nó triển khai một module thu thập dấu vết, liên hệ với máy chủ chỉ huy và yêu cầu bốn khóa công khai. Module này sử dụng Kyber / ML-KEM – cơ chế đóng gói khóa hậu lượng tử đã được NIST chuẩn hóa – để tạo khóa mới, đóng gói một bí mật dùng chung và gửi kết quả trở lại máy chủ trước khi yêu cầu payload khai thác thực tế .

Đây là lần đầu tiên ghi nhận Lazarus sử dụng mã hóa hậu lượng tử để bảo vệ quá trình phân phối exploit. Kỹ thuật này đảm bảo rằng ngay cả khi lưu lượng mạng bị chặn, kênh C2 cũng không thể bị giải mã bởi các đối thủ sử dụng máy tính cổ điển hoặc lượng tử .

3. Zero-Day: CVE-2026-68820 trong AFD.sys

Payload được phân phối đã khai thác CVE-2026-68820, một lỗi use-after-free (sử dụng sau khi giải phóng) trong điều kiện race condition (tranh chấp luồng) của afd.sys, driver chức năng phụ trợ của Windows xử lý các hoạt động Winsock ở chế độ nhân . Thông tin kỹ thuật chính:

• Điểm CVSS: 7.0 (cao)
• Điều kiện tiên quyết: Kẻ tấn công đã phải có khả năng thực thi mã cục bộ từ loader ban đầu
• Cơ chế khai thác: Phải thắng được race condition để giải phóng và cấp phát lại bộ nhớ kernel thành công, cho phép kẻ tấn công làm hỏng các đối tượng kernel và đạt được leo thang đặc quyền lên SYSTEM
• Điểm đáng chú ý: Đây là cùng một driver (AFD.sys) mà Lazarus đã lạm dụng trong ít nhất bốn chiến dịch trước đó kể từ năm 2022, biến nó thành một bề mặt tấn công tái diễn .

4. Triển khai rootkit nhân FudModule

Sau khi đạt được đặc quyền SYSTEM, exploit triển khai một phiên bản nâng cấp của FudModule, rootkit chế độ nhân đặc trưng của Lazarus . Phiên bản này (đôi khi được gọi là FudModule v3.1) hỗ trợ Windows 11 build 26100 và 26200 . FudModule hoạt động với toàn quyền truy cập kernel để:

• Vô hiệu hóa các công cụ phát hiện và phản hồi điểm cuối (EDR) ở cấp độ kernel
• Làm mù các sản phẩm bảo mật bằng cách can thiệp vào các callback kernel và giám sát tiến trình
• Thiết lập sự tồn tại dai dẳng và tải các backdrop dạng module bổ sung, bao gồm MISTPEN và backdoor mới Troy

5. Backdoor Troy và hạ tầng bị chiếm quyền

Giai đoạn cuối sử dụng backdoor Troy, một công cụ truy cập từ xa dạng module mới được ghi nhận. Hạ tầng chỉ huy của nó được xây dựng gần như hoàn toàn từ các máy chủ hợp pháp bị chiếm quyền – tin tặc không tự xây dựng hạ tầng riêng của mình mà xâm phạm máy chủ của các tổ chức khác .

Các quốc gia và lĩnh vực bị nhắm mục tiêu

Giảm thiểu và ứng phó

Bản vá của Microsoft

• Microsoft đã phát hành bản sửa lỗi vào ngày 11/8/2026 (Patch Tuesday), vá 398 CVE bao gồm CVE-2026-68820
• Bản sửa lỗi được đưa ra sau quy trình tiết lộ có trách nhiệm của Check Point Research, đơn vị đã xác định việc khai thác zero-day và báo cáo cho Microsoft
• Microsoft đánh dấu CVE-2026-68820 là lỗ hổng duy nhất bị khai thác tích cực trong đợt phát hành tháng đó

Chỉ thị khẩn cấp của CISA

• Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) đã ban hành Chỉ thị khẩn cấp bắt buộc yêu cầu tất cả các cơ quan của Nhánh Hành pháp Dân sự Liên bang Hoa Kỳ (FCEB) khắc phục lỗ hổng CVE-2026-68820
• Các cơ quan được ấn định hạn chót là ngày 25/8/2026 để áp dụng bản vá
• CISA đã thêm lỗ hổng này vào danh mục Lỗ hổng đã biết bị khai thác (KEV), yêu cầu tất cả các tổ chức liên bang phải hành động và khuyến nghị tất cả các tổ chức khu vực tư nhân cũng làm như vậy

Các hành động được khuyến nghị cho tổ chức

• Áp dụng ngay các bản cập nhật Patch Tuesday tháng 8/2026 của Microsoft, ưu tiên CVE-2026-68820
• Giám sát hoạt động bất thường của AFD.sys, việc tải driver kernel không mong muốn và hành vi can thiệp EDR
• Giáo dục nhân viên về các mồi nhử tuyển dụng giả và trình xem tài liệu bị mã độc hóa
• Triển khai tính năng phát hiện ở cấp độ mạng đối với lưu lượng trao đổi khóa Kyber/ML-KEM trên các kênh không mong muốn

Tại sao điều này lại quan trọng

Chiến dịch này đánh dấu sự leo thang về độ tinh vi từ một tác nhân đe dọa do nhà nước bảo trợ vốn đã là một trong những nhóm hoạt động mạnh nhất. Việc sử dụng mã hóa hậu lượng tử để bảo vệ quá trình phân phối exploit cho thấy rằng Lazarus vừa đang theo dõi các khả năng phòng thủ, vừa đầu tư vào việc bảo vệ các hoạt động của mình trước tương lai. Việc liên tục nhắm mục tiêu vào cùng một driver AFD.sys – đã bị khai thác ít nhất bốn lần kể từ năm 2022 – làm nổi bật một bề mặt lỗ hổng dai dẳng trong nhân Windows mà Microsoft vẫn phải vá một cách bị động .