Mit Nordkorea verbundene Lazarus-Hacker nutzten eine Zero-Day-Schwachstelle in Windows aus, um Organisationen aus der Verteidigungs-, Luft- und Raumfahrtindustrie in Europa und Indien anzugreifen. Microsoft behob die Schwachstelle mit seinen Sicherheitsupdates vom August 2026, nachdem das Unternehmen bestätigt hatte, dass Angreifer sie bereits aktiv ausnutzten.
Lazarus nutzte Windows-Schwachstelle zur Rechteausweitung
Die als CVE-2026-68820 verfolgte Schwachstelle betrifft den Windows Ancillary Function Driver for WinSock, auch bekannt als AFD.sys. Microsoft beschrieb sie als Use-after-free-Schwachstelle, die es einem lokal authentifizierten Angreifer ermöglicht, SYSTEM-Rechte zu erlangen.
Ein Angreifer kann die Schwachstelle ausnutzen, indem er eine speziell entwickelte Anwendung auf einem anfälligen Gerät ausführt. Die Anwendung löst eine Race Condition aus, durch die sich die Rechte des Angreifers ohne weitere Interaktion des Nutzers erhöhen lassen.
Microsoft behob das Problem im Rahmen des Patch Tuesday im August und kennzeichnete es als aktiv ausgenutzt. Forscher gehen davon aus, dass Lazarus bereits Anfang Juli mit der Ausnutzung der Windows-Zero-Day-Schwachstelle begann.
Gefälschte Jobangebote zielen auf Mitarbeiter der Verteidigungsbranche
Die Angriffe sind Teil von Operation Dream Job, einer langjährigen Lazarus-Kampagne, bei der gefälschte Stellenangebote genutzt werden, um Mitarbeiter ausgewählter Organisationen ins Visier zu nehmen.
Die jüngste Kampagne konzentrierte sich auf Unternehmen, die an Verteidigungstechnologien wie Überwachungssensoren, Drohnen und Robotik arbeiten. Forscher von Check Point beobachteten Angriffe in Europa und Indien, wobei erfolgreiche Kompromittierungen in Frankreich und Deutschland festgestellt wurden.
In einem Fall kompromittierte Lazarus eine Organisation in Frankreich und nutzte deren Infrastruktur anschließend, um Spear-Phishing-Nachrichten an weitere Ziele zu senden. Diese Methode kann bösartige Rekrutierungs-E-Mails glaubwürdiger erscheinen lassen, da sie aus einer legitimen Unternehmensumgebung stammen.
FudModule-Rootkit nutzt die Schwachstelle aus
Check Point stellte fest, dass Lazarus einer neuen Version seines Kernel-Mode-Rootkits FudModule Unterstützung für die Ausnutzung von CVE-2026-68820 hinzugefügt hatte. Der Exploit zielte speziell auf die Windows-11-Builds 26100 und 26200 ab.
Die Gruppe hatte bereits zuvor eine Zero-Day-Schwachstelle in AFD.sys ausgenutzt, um höhere Berechtigungen zu erlangen und FudModule einzusetzen. Die neueste Version behält frühere Funktionen bei, die darauf ausgelegt sind, Telemetriedaten der Endpunkterkennung zu deaktivieren und Sicherheitsprodukte zu beeinträchtigen.
Die Forscher entdeckten außerdem Funktionen zur Manipulation von Smart App Control im aktualisierten Rootkit. Diese Änderungen können den Angreifern helfen, unauffälliger auf kompromittierten Systemen zu agieren und die Wahrscheinlichkeit einer Entdeckung zu verringern.
Neue Troy-Backdoor erweitert die Kontrolle der Angreifer
Die Kampagne setzte außerdem eine neue Backdoor namens Troy ein. Die Malware unterstützt 17 Befehle, mit denen Angreifer System- und Prozessinformationen sammeln, Dateien verwalten und Befehle unauffällig ausführen können.
Troy kann Dateien für den Datendiebstahl hochladen, herunterladen, löschen und archivieren. Die Malware kann außerdem Remote-Prozesse beenden, DLL-Dateien in den Speicher einschleusen und ihre Konfiguration oder Kommunikationsintervalle verändern.
Check Point beobachtete darüber hinaus Scans, die auf anfällige Roundcube-Webmail-Installationen abzielten. Die Angreifer nutzten wahrscheinlich geleakte Zugangsdaten, um auf Roundcube zuzugreifen, bevor sie CVE-2025-49113 ausnutzten, eine authentifizierte Schwachstelle zur Remote-Code-Ausführung.
Nach erfolgreichem Zugriff installierten sie eine PHP-Webshell namens RelayShell. Die Forscher identifizierten mindestens 17 Server, die mit dem Tool infiziert waren.
Organisationen sollten Systeme patchen und Stellenangebote überprüfen
Die Lazarus-Kampagne mit der Windows-Zero-Day-Schwachstelle zeigt, wie gezieltes Phishing zu einer umfassenderen Kompromittierung führen kann, wenn Angreifer es mit lokaler Rechteausweitung und Rootkit-Tools kombinieren.
Organisationen sollten Microsofts Sicherheitsupdates vom August 2026 so schnell wie möglich installieren. Sicherheitsteams sollten ihre Systeme außerdem auf verdächtige Aktivitäten im Zusammenhang mit FudModule, Troy und RelayShell überprüfen.
Mitarbeiter in sensiblen Branchen sollten unerwartete Stellenangebote über einen unabhängigen Kanal verifizieren, insbesondere wenn Nachrichten Dateien, Links oder Aufforderungen zur Installation von Software enthalten. Eine umfassende Endpunktüberwachung, der Schutz von Zugangsdaten und Schulungen zur Erkennung von Phishing können das Risiko zusätzlich reduzieren.
0 Kommentare zu „Lazarus-Hacker nutzten Windows-Zero-Day für Angriffe auf Rüstungsunternehmen“