本次攻击有何不同

Lazarus 自 2020 年以来一直开展“梦想工作”行动，但本轮攻击引入了三项重大技术升级 ：

1. 一个此前未知的 Windows 零日漏洞（CVE-2026-68820），位于 AFD.sys 驱动程序中
2. 后量子密钥交换，使用 Kyber/ML-KEM 加密命令与控制（C2）流量
3. 名为 Troy 的新型模块化后门，通过劫持的合法服务器进行通信

攻击链详解

1. 通过虚假招聘进行社会工程学攻击

受害者在 LinkedIn 等专业平台被冒充洛克希德·马丁（Lockheed Martin）及隐私技术公司 Enveil 招聘人员的攻击者联系 。目标收到职位描述和可下载的“面试材料”链接。攻击采用了两种并行感染链 ：

• 链 A（DLL 侧加载）：受害者下载一个 ZIP 压缩包，内含一个合法的、经数字签名的 PDF 阅读器可执行文件、一个恶意 DLL（libmupdf.dll）和一个扩展名为 .pdf.enc 的加密载荷。启动 PDF 阅读器后，它会侧加载恶意 DLL，该 DLL 在显示诱饵 PDF 的同时，静默解密并执行载荷 。
• 链 B（木马化 PDF 阅读器）：受害者下载名为 SecurityPDF 的虚假应用程序，它伪装成基于 MuPDF 的合法 PDF 阅读器。该木马化阅读器看似正常，但在打开特制 PDF 时会加载恶意代码 。

2. 后量子加密保护 C2 信道

初始加载器执行后，会部署一个指纹模块，该模块联系命令服务器并请求四个公钥。该模块使用 Kyber / ML-KEM——NIST 标准化的后量子密钥封装机制——生成新的密钥材料，封装共享密钥，并将结果发回服务器，然后才请求实际的漏洞载荷 。

这是 Lazarus 首次有记录地使用后量子加密技术 来保护漏洞投递。即使网络流量被截获，该技术也确保 C2 信道无法被经典计算机或量子计算机破译 。

3. 零日漏洞：CVE-2026-68820（AFD.sys）

投递的载荷利用了 CVE-2026-68820，这是 afd.sys（Windows 辅助功能驱动程序，负责处理内核模式 Winsock 操作）中的一个释放后使用条件竞争漏洞 。关键技术细节：

• CVSS 评分：7.0（高危）
• 前置条件：攻击者需已从初始加载器获得本地代码执行权限
• 利用机制：必须赢得条件竞争，才能成功释放并重新分配内核内存，从而破坏内核对象，实现本地权限提升至 SYSTEM
• 重复利用的向量：这是 Lazarus 自 2022 年以来 至少第四次利用同一个驱动程序（AFD.sys），使其成为反复出现的攻击面 。

4. FudModule 内核 Rootkit 部署

获得 SYSTEM 权限后，漏洞利用程序部署了升级版的 FudModule，这是 Lazarus 标志性的内核模式 rootkit 。该版本（有时标记为 FudModule v3.1）支持 Windows 11 Build 26100 和 26200 。FudModule 凭借完整内核访问权限可以：

• 在内核层面禁用端点检测与响应（EDR）工具
• 通过篡改内核回调和进程监控来致盲安全产品
• 建立持久化并加载额外的模块化后门，包括 MISTPEN 和新出现的 Troy 后门

5. Troy 后门与劫持的基础设施

最后阶段使用 Troy 后门，这是一个新近记录的模块化远程访问工具。其命令基础设施几乎完全建立在 劫持的合法服务器 之上——攻击者并未自建基础设施，而是攻陷了其他组织的服务器 。

受影响的国家与行业

缓解措施与响应

微软补丁

• 微软于 2026 年 8 月 11 日（补丁星期二） 发布修复，共修补了 398 个 CVE，包括 CVE-2026-68820
• 修复基于 Check Point 研究的负责任的披露，他们发现了零日漏洞利用并向微软报告
• 微软将 CVE-2026-68820 标记为当月补丁中 唯一一个正在被积极利用的漏洞

CISA 紧急指令

• 美国网络安全和基础设施安全局（CISA）发布强制性紧急指令，要求所有美国联邦民事行政部门（FCEB）机构修复 CVE-2026-68820
• 各机构须在 2026 年 8 月 25 日前 应用补丁
• CISA 将该漏洞列入其 已知被利用漏洞（KEV）目录，要求所有联邦组织采取行动，并建议所有私营部门组织跟进

给组织的建议

• 立即应用微软 2026 年 8 月补丁星期二更新，优先修复 CVE-2026-68820
• 监控异常的 AFD.sys 活动、意外的内核驱动程序加载以及 EDR 篡改行为
• 教育员工识别虚假招聘诱饵和木马化文档查看器
• 在非预期信道上实施针对 Kyber/ML-KEM 密钥交换流量的网络层检测

事件影响

本轮攻击证明，一个本就多产的国家级威胁行为体发动了更为复杂的攻击。在漏洞投递阶段使用后量子加密技术表明，Lazarus 既在监控防御能力，也在为其行动进行“未来化”投资。自 2022 年以来，攻击者至少四次利用同一个 AFD.sys 驱动程序的漏洞，这凸显了 Windows 内核中存在一个持续的漏洞面，而微软仍在被动地修补 。

本次攻击有何不同

Lazarus 自 2020 年以来一直开展“梦想工作”行动，但本轮攻击引入了三项重大技术升级 ：

1. 一个此前未知的 Windows 零日漏洞（CVE-2026-68820），位于 AFD.sys 驱动程序中
2. 后量子密钥交换，使用 Kyber/ML-KEM 加密命令与控制（C2）流量
3. 名为 Troy 的新型模块化后门，通过劫持的合法服务器进行通信

攻击链详解

1. 通过虚假招聘进行社会工程学攻击

受害者在 LinkedIn 等专业平台被冒充洛克希德·马丁（Lockheed Martin）及隐私技术公司 Enveil 招聘人员的攻击者联系 。目标收到职位描述和可下载的“面试材料”链接。攻击采用了两种并行感染链 ：

• 链 A（DLL 侧加载）：受害者下载一个 ZIP 压缩包，内含一个合法的、经数字签名的 PDF 阅读器可执行文件、一个恶意 DLL（libmupdf.dll）和一个扩展名为 .pdf.enc 的加密载荷。启动 PDF 阅读器后，它会侧加载恶意 DLL，该 DLL 在显示诱饵 PDF 的同时，静默解密并执行载荷 。
• 链 B（木马化 PDF 阅读器）：受害者下载名为 SecurityPDF 的虚假应用程序，它伪装成基于 MuPDF 的合法 PDF 阅读器。该木马化阅读器看似正常，但在打开特制 PDF 时会加载恶意代码 。

2. 后量子加密保护 C2 信道

初始加载器执行后，会部署一个指纹模块，该模块联系命令服务器并请求四个公钥。该模块使用 Kyber / ML-KEM——NIST 标准化的后量子密钥封装机制——生成新的密钥材料，封装共享密钥，并将结果发回服务器，然后才请求实际的漏洞载荷 。

这是 Lazarus 首次有记录地使用后量子加密技术 来保护漏洞投递。即使网络流量被截获，该技术也确保 C2 信道无法被经典计算机或量子计算机破译 。

3. 零日漏洞：CVE-2026-68820（AFD.sys）

投递的载荷利用了 CVE-2026-68820，这是 afd.sys（Windows 辅助功能驱动程序，负责处理内核模式 Winsock 操作）中的一个释放后使用条件竞争漏洞 。关键技术细节：

• CVSS 评分：7.0（高危）
• 前置条件：攻击者需已从初始加载器获得本地代码执行权限
• 利用机制：必须赢得条件竞争，才能成功释放并重新分配内核内存，从而破坏内核对象，实现本地权限提升至 SYSTEM
• 重复利用的向量：这是 Lazarus 自 2022 年以来 至少第四次利用同一个驱动程序（AFD.sys），使其成为反复出现的攻击面 。

4. FudModule 内核 Rootkit 部署

获得 SYSTEM 权限后，漏洞利用程序部署了升级版的 FudModule，这是 Lazarus 标志性的内核模式 rootkit 。该版本（有时标记为 FudModule v3.1）支持 Windows 11 Build 26100 和 26200 。FudModule 凭借完整内核访问权限可以：

• 在内核层面禁用端点检测与响应（EDR）工具
• 通过篡改内核回调和进程监控来致盲安全产品
• 建立持久化并加载额外的模块化后门，包括 MISTPEN 和新出现的 Troy 后门

5. Troy 后门与劫持的基础设施

最后阶段使用 Troy 后门，这是一个新近记录的模块化远程访问工具。其命令基础设施几乎完全建立在 劫持的合法服务器 之上——攻击者并未自建基础设施，而是攻陷了其他组织的服务器 。

受影响的国家与行业

缓解措施与响应

微软补丁

• 微软于 2026 年 8 月 11 日（补丁星期二） 发布修复，共修补了 398 个 CVE，包括 CVE-2026-68820
• 修复基于 Check Point 研究的负责任的披露，他们发现了零日漏洞利用并向微软报告
• 微软将 CVE-2026-68820 标记为当月补丁中 唯一一个正在被积极利用的漏洞

CISA 紧急指令

• 美国网络安全和基础设施安全局（CISA）发布强制性紧急指令，要求所有美国联邦民事行政部门（FCEB）机构修复 CVE-2026-68820
• 各机构须在 2026 年 8 月 25 日前 应用补丁
• CISA 将该漏洞列入其 已知被利用漏洞（KEV）目录，要求所有联邦组织采取行动，并建议所有私营部门组织跟进

给组织的建议

• 立即应用微软 2026 年 8 月补丁星期二更新，优先修复 CVE-2026-68820
• 监控异常的 AFD.sys 活动、意外的内核驱动程序加载以及 EDR 篡改行为
• 教育员工识别虚假招聘诱饵和木马化文档查看器
• 在非预期信道上实施针对 Kyber/ML-KEM 密钥交换流量的网络层检测

事件影响

本轮攻击证明，一个本就多产的国家级威胁行为体发动了更为复杂的攻击。在漏洞投递阶段使用后量子加密技术表明，Lazarus 既在监控防御能力，也在为其行动进行“未来化”投资。自 2022 年以来，攻击者至少四次利用同一个 AFD.sys 驱动程序的漏洞，这凸显了 Windows 内核中存在一个持续的漏洞面，而微软仍在被动地修补 。