此次攻擊有何不同？

Lazarus 從 2020 年就開始執行「夢想起飛行動」，但這波攻擊帶來了三項重大的技術升級 ：

1. 一個未知的 Windows 零日漏洞（CVE-2026-68820），存在於 AFD.sys 驅動程式中
2. 採用後量子金鑰交換技術（Kyber/ML-KEM）來加密命令與控制（C2）流量
3. 一個名為 Troy 的全新模組化後門，透過挾持合法伺服器進行通訊

攻擊鏈逐步解析

1. 透過假工作機會進行社交工程

受害者會在 LinkedIn 等專業社群平台上，收到假冒洛克希德馬丁（Lockheed Martin）與隱私技術公司 Enveil 招募人員的聯繫 。目標對象會收到工作描述和一個下載「面試資料」的連結。攻擊者使用了兩種並行的感染鏈 ：

• 鏈 A（DLL 側載）： 受害者下載一個 ZIP 壓縮檔，其中包含一個合法的、具數位簽章的 PDF 檢視器執行檔、一個惡意 DLL（libmupdf.dll），以及一個附檔名為 .pdf.enc 的加密酬載。當受害者啟動 PDF 檢視器時，會側載這個惡意 DLL，它會顯示一個與工作相關的 PDF 檔案作為誘餌，同時在背景解密並執行真正的惡意酬載 。
• 鏈 B（被植入木馬的 PDF 檢視器）： 受害者下載一個名為 SecurityPDF 的虛假應用程式，它偽裝成以 MuPDF 為基礎的合法 PDF 檢視器。這個被植入木馬的檢視器看似正常，但當開啟一個特製的 PDF 時，便會載入惡意程式碼 。

2. 抗量子加密保護 C2 通道

一旦初始載入器執行，它會部署一個偵測模組，該模組會聯繫命令伺服器並請求四組公鑰。該模組使用 Kyber / ML-KEM——美國國家標準與技術研究院（NIST）標準化的後量子金鑰封裝機制——來生成新的金鑰材料、封裝一個共用金鑰，並將結果回傳給伺服器，之後才請求真正的漏洞利用酬載 。

這是 Lazarus 首次公開使用抗量子加密技術來保護漏洞傳遞。這項技術確保即使網路流量被攔截，古典或量子電腦都無法解密 C2 通道 。

3. 零日漏洞：CVE-2026-68820（AFD.sys）

傳遞進來的酬載利用了 CVE-2026-68820，這是一個存在於 AFD.sys 中的釋放後使用（use-after-free）競爭條件漏洞。AFD.sys 是 Windows 的附屬功能驅動程式，負責處理核心模式的 Winsock 運算 。關鍵技術細節如下：

• CVSS 分數： 7.0（高度）
• 必要條件： 攻擊者需要先從初始載入器獲得本機程式碼執行能力
• 利用機制： 攻擊者必須贏得競爭條件，成功釋放並重新分配核心記憶體，藉此破壞核心物件，最終將權限提升至 SYSTEM 等級
• 重複攻擊向量： 這是 Lazarus 自 2022 年以來至少第四次利用同一個 AFD.sys 驅動程式，使其成為一個反覆出現的攻擊面 。

4. 部署 FudModule 核心 Rootkit

獲得 SYSTEM 權限後，漏洞利用程式會部署一個升級版的 FudModule——Lazarus 的標誌性核心級 Rootkit 。此版本支援 Windows 11 的特定版本 (build 26100 和 26200) 。FudModule 以完整核心權限運作，能夠：

• 在核心層級停用端點偵測與回應（EDR）工具
• 透過篡改核心回呼（callbacks）和程序監控機制，使安全產品失明
• 建立持續性機制並載入額外的模組化後門，包括 MISTPEN 和全新的 Troy 後門

5. Troy 後門與被挾持的基礎設施

攻擊的最後階段使用 Troy 後門，這是一個新發現的模組化遠端存取工具。其命令基礎設施幾乎完全建立在 被挾持的合法伺服器上——攻擊者並未自行建造基礎設施，而是入侵了其他組織的伺服器 。

受影響的國家與產業

緩解措施與回應

微軟的修補程式

• 微軟在 2026 年 8 月 11 日（Patch Tuesday） 發布了修補程式，修復了包含 CVE-2026-68820 在內的 398 個 CVE
• 此次修補基於 Check Point Research 的負責任揭露，他們發現並向微軟通報了此零日漏洞的利用活動
• 微軟將 CVE-2026-68820 標記為當月更新中 唯一一個正在被積極利用的漏洞

CISA 的緊急指令

• 美國網路安全暨基礎設施安全局（CISA）發布了一項 強制性緊急指令，要求所有美國聯邦民政行政部門（FCEB）機構修復 CVE-2026-68820
• 各機構須在 2026 年 8 月 25 日前完成修補
• CISA 已將此漏洞加入其 已知被利用漏洞（KEV）目錄，要求所有聯邦組織採取行動，並建議所有私營組織跟進

對組織的行動建議

• 立即套用微軟 2026 年 8 月的 Patch Tuesday 更新，並優先處理 CVE-2026-68820
• 監控異常的 AFD.sys 活動、非預期的核心驅動程式載入以及 EDR 系統是否遭到篡改
• 對員工加強教育，使其警惕假冒的招募資訊和特洛伊木馬化的文件檢視器
• 在網路上部署偵測機制，攔截非預期通道上的 Kyber/ML-KEM 金鑰交換流量

為何此事至關重要

此次攻擊代表了來自一個本就極為多產的國家級威脅行為者，其技術能力的進一步升級。使用抗量子加密技術來保護漏洞傳遞，顯示 Lazarus 不僅在監控防禦技術的發展，也正在投資於讓其行動能夠「未來化」。反覆利用相同的 AFD.sys 驅動程式（自 2022 年以來至少被利用了四次）突顯了 Windows 核心中存在一個持續的攻擊表面，而微軟仍處於被動修補的模式 。

此次攻擊有何不同？

Lazarus 從 2020 年就開始執行「夢想起飛行動」，但這波攻擊帶來了三項重大的技術升級 ：

1. 一個未知的 Windows 零日漏洞（CVE-2026-68820），存在於 AFD.sys 驅動程式中
2. 採用後量子金鑰交換技術（Kyber/ML-KEM）來加密命令與控制（C2）流量
3. 一個名為 Troy 的全新模組化後門，透過挾持合法伺服器進行通訊

攻擊鏈逐步解析

1. 透過假工作機會進行社交工程

受害者會在 LinkedIn 等專業社群平台上，收到假冒洛克希德馬丁（Lockheed Martin）與隱私技術公司 Enveil 招募人員的聯繫 。目標對象會收到工作描述和一個下載「面試資料」的連結。攻擊者使用了兩種並行的感染鏈 ：

• 鏈 A（DLL 側載）： 受害者下載一個 ZIP 壓縮檔，其中包含一個合法的、具數位簽章的 PDF 檢視器執行檔、一個惡意 DLL（libmupdf.dll），以及一個附檔名為 .pdf.enc 的加密酬載。當受害者啟動 PDF 檢視器時，會側載這個惡意 DLL，它會顯示一個與工作相關的 PDF 檔案作為誘餌，同時在背景解密並執行真正的惡意酬載 。
• 鏈 B（被植入木馬的 PDF 檢視器）： 受害者下載一個名為 SecurityPDF 的虛假應用程式，它偽裝成以 MuPDF 為基礎的合法 PDF 檢視器。這個被植入木馬的檢視器看似正常，但當開啟一個特製的 PDF 時，便會載入惡意程式碼 。

2. 抗量子加密保護 C2 通道

一旦初始載入器執行，它會部署一個偵測模組，該模組會聯繫命令伺服器並請求四組公鑰。該模組使用 Kyber / ML-KEM——美國國家標準與技術研究院（NIST）標準化的後量子金鑰封裝機制——來生成新的金鑰材料、封裝一個共用金鑰，並將結果回傳給伺服器，之後才請求真正的漏洞利用酬載 。

這是 Lazarus 首次公開使用抗量子加密技術來保護漏洞傳遞。這項技術確保即使網路流量被攔截，古典或量子電腦都無法解密 C2 通道 。

3. 零日漏洞：CVE-2026-68820（AFD.sys）

傳遞進來的酬載利用了 CVE-2026-68820，這是一個存在於 AFD.sys 中的釋放後使用（use-after-free）競爭條件漏洞。AFD.sys 是 Windows 的附屬功能驅動程式，負責處理核心模式的 Winsock 運算 。關鍵技術細節如下：

• CVSS 分數： 7.0（高度）
• 必要條件： 攻擊者需要先從初始載入器獲得本機程式碼執行能力
• 利用機制： 攻擊者必須贏得競爭條件，成功釋放並重新分配核心記憶體，藉此破壞核心物件，最終將權限提升至 SYSTEM 等級
• 重複攻擊向量： 這是 Lazarus 自 2022 年以來至少第四次利用同一個 AFD.sys 驅動程式，使其成為一個反覆出現的攻擊面 。

4. 部署 FudModule 核心 Rootkit

獲得 SYSTEM 權限後，漏洞利用程式會部署一個升級版的 FudModule——Lazarus 的標誌性核心級 Rootkit 。此版本支援 Windows 11 的特定版本 (build 26100 和 26200) 。FudModule 以完整核心權限運作，能夠：

• 在核心層級停用端點偵測與回應（EDR）工具
• 透過篡改核心回呼（callbacks）和程序監控機制，使安全產品失明
• 建立持續性機制並載入額外的模組化後門，包括 MISTPEN 和全新的 Troy 後門

5. Troy 後門與被挾持的基礎設施

攻擊的最後階段使用 Troy 後門，這是一個新發現的模組化遠端存取工具。其命令基礎設施幾乎完全建立在 被挾持的合法伺服器上——攻擊者並未自行建造基礎設施，而是入侵了其他組織的伺服器 。

受影響的國家與產業

緩解措施與回應

微軟的修補程式

• 微軟在 2026 年 8 月 11 日（Patch Tuesday） 發布了修補程式，修復了包含 CVE-2026-68820 在內的 398 個 CVE
• 此次修補基於 Check Point Research 的負責任揭露，他們發現並向微軟通報了此零日漏洞的利用活動
• 微軟將 CVE-2026-68820 標記為當月更新中 唯一一個正在被積極利用的漏洞

CISA 的緊急指令

• 美國網路安全暨基礎設施安全局（CISA）發布了一項 強制性緊急指令，要求所有美國聯邦民政行政部門（FCEB）機構修復 CVE-2026-68820
• 各機構須在 2026 年 8 月 25 日前完成修補
• CISA 已將此漏洞加入其 已知被利用漏洞（KEV）目錄，要求所有聯邦組織採取行動，並建議所有私營組織跟進

對組織的行動建議

• 立即套用微軟 2026 年 8 月的 Patch Tuesday 更新，並優先處理 CVE-2026-68820
• 監控異常的 AFD.sys 活動、非預期的核心驅動程式載入以及 EDR 系統是否遭到篡改
• 對員工加強教育，使其警惕假冒的招募資訊和特洛伊木馬化的文件檢視器
• 在網路上部署偵測機制，攔截非預期通道上的 Kyber/ML-KEM 金鑰交換流量

為何此事至關重要

此次攻擊代表了來自一個本就極為多產的國家級威脅行為者，其技術能力的進一步升級。使用抗量子加密技術來保護漏洞傳遞，顯示 Lazarus 不僅在監控防禦技術的發展，也正在投資於讓其行動能夠「未來化」。反覆利用相同的 AFD.sys 驅動程式（自 2022 年以來至少被利用了四次）突顯了 Windows 核心中存在一個持續的攻擊表面，而微軟仍處於被動修補的模式 。