Lazarus 集團攻擊內幕：Windows 零日漏洞、Kyber 加密與全球國防企業被入侵

2026 年初，北韓 Lazarus 集團將其長期執行的「造夢行動」（Operation Dream Job）升級至全新層次，結合 Windows 核心零日漏洞與後量子加密技術，發動一套極為精密嘅攻擊鏈。Check Point Research 發現呢次攻擊活動，並將漏洞——CVE-2026-68820——通報 Microsoft，後者已於 2026 年 8 月 11 日 Patch Tuesday 完成修補 。今次攻擊針對西歐、印度同巴西嘅國防、航空及航天機構，利用假招聘誘餌、特洛伊化 PDF 閱讀器同一個名為 Troy 嘅全新後門 。

今次攻擊有咩咁特別？

Lazarus 自 2020 年起已營運「造夢行動」，但呢一波加入咗三大技術升級 ：

1. 一個前所未見嘅 Windows 零日漏洞（CVE-2026-68820），位於 AFD.sys 驅動程式入面
2. 後量子金鑰交換，使用 Kyber/ML-KEM 加密命令與控制（C2）通訊
3. 一個全新模塊化後門 Troy，透過被騎劫嘅合法伺服器進行通訊

攻擊鏈逐層拆解

1. 社交工程：假招聘訊息

受害者喺 LinkedIn 等專業平台收到冒充 Lockheed Martin 及私隱科技公司 Enveil 招聘人員嘅聯絡 。目標會收到一份職位描述同一個「面試資料」下載連結。攻擊者使用兩個平行感染鏈 ：

• 鏈 A（DLL 側載）： 受害者下載一個 ZIP 壓縮檔，內含一個經數碼簽署嘅合法 PDF 閱讀器執行檔、一個惡意 DLL（libmupdf.dll）同一個加密載荷（.pdf.enc 延伸檔名）。當使用者執行 PDF 閱讀器，系統會側載惡意 DLL，顯示一個偽裝 PDF 嘅同時，暗中解密並執行載荷 。
• 鏈 B（特洛伊化 PDF 閱讀器）： 受害者下載一個名為 SecurityPDF 嘅假冒應用程式，模仿基於 MuPDF 嘅合法 PDF 閱讀器。呢個特洛伊化應用程式表面正常，但打開特製 PDF 時會載入惡意程式碼 。

2. 後量子加密保護 C2 頻道

一旦初始載荷執行，就會部署一個指紋識別模塊，聯絡命令伺服器並索取四個公鑰。模塊使用 Kyber / ML-KEM——美國 NIST 標準化嘅後量子金鑰封裝機制——生成新金鑰材料、封裝共享秘密，並將結果傳回伺服器，然後先請求實際嘅漏洞載荷 。

呢個係 Lazarus 首次被記錄使用後量子加密去保護漏洞傳送。呢項技術確保即使網絡流量被攔截，C2 頻道都無法被經典或量子電腦破解 。

3. 零日漏洞：CVE-2026-68820 喺 AFD.sys

傳送嘅載荷利用咗 CVE-2026-68820，一個喺 afd.sys（Windows 輔助功能驅動程式，用於核心模式 Winsock 操作）入面嘅 use-after-free 競爭條件漏洞 。關鍵技術詳情：

• CVSS 分數： 7.0（高風險）
• 先決條件： 攻擊者需要先從初始載荷取得本機程式碼執行權限
• 利用機制： 必須成功利用競爭條件，先可以釋放並重新配置核心記憶體，令攻擊者破壞核心物件，從而取得 SYSTEM 權限提升
• 重複攻擊面： 呢個係 同一驅動程式（AFD.sys）自 2022 年以來至少第四次被 Lazarus 利用，成為一個經常出現嘅攻擊路徑 。

4. FudModule 核心 Rootkit 部署

取得 SYSTEM 權限後，漏洞利用程式會部署一個升級版嘅 FudModule——Lazarus 標誌性嘅核心模式 Rootkit 。呢個版本（有時稱為 FudModule v3.1）支援 Windows 11 版本 26100 同 26200 。FudModule 以完整核心存取權限運作，可以：

• 停用端點檢測與回應（EDR）工具，喺核心層面進行
• 隱藏安全產品，透過篡改核心回呼同程式監控
• 建立持久化機制並載入額外模塊化後門，包括 MISTPEN 同全新嘅 Troy 後門

5. Troy 後門同被騎劫嘅基礎設施

最終階段使用 Troy 後門，一個新記錄嘅模塊化遠端存取工具。其命令基礎設施幾乎完全由被騎劫嘅合法伺服器組成——攻擊者無需自建基礎設施，而係入侵其他機構嘅伺服器黎用 。

受影響國家與行業

類別	詳情
針對行業	國防、航空、航天
確認國家	法國、德國（西歐）、印度、巴西
時間線	攻擊至少自 2026 年 7 月初活躍，漏洞利用最早可追溯到 6 月

應對與修復措施

Microsoft 修補程式

• Microsoft 於 2026 年 8 月 11 日（Patch Tuesday） 發布修復，共修補 398 個 CVE，包括 CVE-2026-68820
• 修復基於 Check Point Research 負責任披露，佢哋識別出零日漏洞利用並通報 Microsoft
• Microsoft 標記 CVE-2026-68820 為該月發布中唯一一個已被積極利用嘅漏洞

CISA 緊急指令

• 美國網絡安全及基礎設施安全局（CISA）發出強制性緊急指令，要求所有聯邦文職行政部門（FCEB）機構修復 CVE-2026-68820
• 機構須於 2026 年 8 月 25 日前完成修補
• CISA 將漏洞加入其已知被利用漏洞目錄（KEV），要求所有聯邦組織採取行動，並建議私營機構跟進

機構建議措施

• 立即套用 Microsoft 2026 年 8 月 Patch Tuesday 更新，優先處理 CVE-2026-68820
• 監控異常嘅 AFD.sys 活動、非預期嘅核心驅動程式載入同 EDR 篡改行爲
• 教育員工識別假招聘誘餌同特洛伊化文件檢視器
• 在網絡層面檢測非預期頻道上嘅 Kyber/ML-KEM 金鑰交換流量

點解呢次攻擊咁重要？

呢次行動代表一個國家級威脅行為者嘅技術升級，而呢個行為者本身已經係最多產嘅黑客組織之一。使用後量子加密去保護漏洞傳送，暗示 Lazarus 唔單止喺監控防禦能力，仲喺投資未來化嘅攻擊操作。同一 AFD.sys 驅動程式自 2022 年起至少被利用四次，突顯 Windows 核心入面一個持續存在嘅漏洞面，Microsoft 目前只能被動修補 。