Wprowadzenie do problemu / definicja
Grupa Lazarus została powiązana z wykorzystaniem luki typu zero-day w systemie Microsoft Windows, która umożliwiała lokalną eskalację uprawnień do poziomu SYSTEM i uruchamianie zaawansowanego złośliwego oprogramowania. Kampania wpisuje się w długoletnie operacje cyberwywiadowcze prowadzone przeciwko organizacjom z sektorów obronnego, lotniczego i technologicznego.
Atak łączy klasyczne techniki socjotechniczne z wykorzystaniem legalnie wyglądających narzędzi, skompromitowanej infrastruktury internetowej oraz wieloetapowych łańcuchów infekcji. Taki model działania utrudnia wykrycie zarówno na etapie dostarczenia ładunku, jak i późniejszej aktywności po przejęciu stacji roboczej.
W skrócie
- Atakujący wykorzystali podatność CVE-2026-68820 w sterowniku AFD.sys.
- Luka została załatana przez Microsoft w ramach Patch Tuesday z 11 sierpnia 2026 r.
- Celem było uzyskanie uprawnień SYSTEM, obejście mechanizmów ochronnych Windows i wdrożenie backdoora.
- W kampanii użyto komponentów Troy, MISTPEN, ForestTiger oraz FudModule 3.1.
- Początkowy dostęp uzyskiwano m.in. przez fałszywe oferty pracy, złośliwe dokumenty PDF i trojanizowane aplikacje.
Kontekst / historia
Opisana operacja stanowi kolejną odsłonę kampanii Dream Job, od lat przypisywanej północnokoreańskim operatorom powiązanym z Lazarusem. Schemat ataku pozostaje podobny: ofiara otrzymuje wiadomość od rzekomego rekrutera, nawiązywana jest wiarygodna komunikacja, a następnie dostarczany jest dokument lub aplikacja mająca rzekomo zawierać opis stanowiska albo materiały rekrutacyjne.
W praktyce taki łańcuch służy do uruchomienia malware i przejęcia systemu końcowego. W najnowszej fali kampanii obserwowano ofiary m.in. we Francji, Niemczech, Brazylii i Indiach. Istotne jest również to, że operatorzy wykorzystywali nie tylko własną infrastrukturę, lecz także przejęte serwisy WWW, podatne serwery pocztowe oraz domeny podszywające się pod zaufane podmioty, co ogranicza skuteczność prostych mechanizmów filtrowania opartych na reputacji.
Analiza techniczna
Centralnym elementem ataku była podatność CVE-2026-68820, sklasyfikowana jako luka eskalacji uprawnień w Windows Ancillary Function Driver for WinSock, czyli AFD.sys. Jej wykorzystanie pozwalało przejść z kontekstu zwykłego użytkownika do poziomu SYSTEM, a więc uzyskać praktycznie pełną kontrolę nad hostem.
Badacze opisali dwa główne łańcuchy infekcji. W pierwszym wariancie ofiara pobiera zaszyfrowane archiwum inicjujące DLL side-loading. Złośliwa biblioteka wyświetla fałszywy opis stanowiska, a równolegle ładuje do pamięci downloader MISTPEN. Ten komponent komunikuje się z infrastrukturą sterującą przy użyciu usług chmurowych, pobiera dodatkowe moduły rozpoznawcze i utrwalające obecność, a następnie uruchamia exploit na AFD.sys. Końcowym etapem jest wdrożenie ForestTiger, zapewniającego zdalny dostęp do systemu.
Drugi wariant opiera się na trojanizowanej przeglądarce PDF określanej jako SecurityPDF. Po instalacji aplikacja monitoruje otwierane dokumenty i wyszukuje specjalny znacznik w treści. Gdy taki znacznik zostanie wykryty, osadzony ładunek jest odszyfrowywany i uruchamiany bezpośrednio w pamięci, co prowadzi do załadowania backdoora Troy. Taka technika ogranicza liczbę artefaktów zapisywanych na dysku i utrudnia analizę śledczą.
Backdoor oraz powiązane z nim moduły zapewniają szerokie możliwości operacyjne, obejmujące enumerację plików, przesyłanie i pobieranie danych, archiwizację i eksfiltrację, dostęp do interaktywnej powłoki, kończenie procesów, iniekcję bibliotek DLL oraz aktualizację konfiguracji. Dodatkowe moduły MISTPEN realizują profilowanie hosta, zbieranie informacji o procesach, wykonywanie zrzutów ekranu z wielu monitorów i przygotowanie środowiska do eskalacji uprawnień.
Szczególnie niepokojące jest użycie FudModule 3.1, czyli nowszej wersji komponentu działającego w trybie jądra. Po uzyskaniu uprawnień SYSTEM malware wstrzykuje kolejną instancję MISTPEN do uprzywilejowanego procesu, a następnie ingeruje w mechanizmy integralności kodu. Według opublikowanych ustaleń nowa wersja może wpływać na działanie Smart App Control w Windows 11, co potencjalnie obniża skuteczność ochrony opartej na reputacji i zaufaniu do aplikacji.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią należy ocenić jako wysokie. Po pierwsze, luka była wykorzystywana jako zero-day, czyli przed publicznym wdrożeniem poprawki. Po drugie, eskalacja do SYSTEM daje napastnikom bardzo szerokie możliwości działania na stacji końcowej. Po trzecie, cały łańcuch infekcji został starannie zamaskowany, od wiarygodnej socjotechniki po użycie legalnych usług oraz skompromitowanej infrastruktury.
Dla organizacji oznacza to realne ryzyko kradzieży danych, długotrwałej obecności przeciwnika w środowisku, przejęcia kont uprzywilejowanych oraz dalszej lateralizacji. W przypadku sektorów o wysokiej wartości strategicznej konsekwencje mogą obejmować utratę własności intelektualnej, dokumentacji projektowej, danych kontraktowych i informacji o łańcuchu dostaw. Dodatkowym utrudnieniem jest fakt, że komunikacja do usług chmurowych lub znanych platform może wyglądać jak zwykły ruch biznesowy.
Rekomendacje
Priorytetem powinno być niezwłoczne wdrożenie sierpniowych poprawek bezpieczeństwa Microsoft, w szczególności na systemach Windows narażonych na CVE-2026-68820. Równolegle warto zweryfikować, czy w środowisku nie występują nieautoryzowane przeglądarki PDF, nietypowe biblioteki DLL ładowane przez legalne procesy oraz ślady side-loadingu.
- Zwiększyć monitoring uruchamiania procesów potomnych przez czytniki i przeglądarki PDF.
- Analizować iniekcję kodu do msiexec.exe oraz innych procesów systemowych.
- Wykrywać nietypowe modyfikacje polityk integralności kodu i ustawień ochronnych Windows.
- Monitorować komunikację do usług chmurowych realizowaną przez niestandardowe procesy.
- Poszukiwać artefaktów powiązanych z nazwami MISTPEN, Troy, ForestTiger i FudModule.
Na poziomie organizacyjnym należy zaostrzyć procedury weryfikacji kontaktów rekrutacyjnych, szczególnie w działach badawczych, inżynierskich i obronnych. Oprogramowanie powinno być pobierane wyłącznie z zatwierdzonych źródeł, a stacje robocze wysokiego ryzyka powinny być objęte segmentacją, restrykcjami uprawnień lokalnych oraz pełną telemetrią EDR. Warto również przejrzeć ekspozycję usług webmail i systemów pośredniczących, w tym instancji Roundcube, pod kątem aktualizacji i ewentualnego nadużycia w kampaniach phishingowych.
Podsumowanie
Najnowsza kampania Lazarusa pokazuje, że współczesne operacje APT coraz częściej łączą skuteczną socjotechnikę, legalnie wyglądające narzędzia, wykorzystanie luk zero-day i techniki obchodzenia zabezpieczeń po uzyskaniu wysokich uprawnień. Dla obrońców kluczowe pozostają trzy obszary: szybkie łatanie systemów, ścisła kontrola źródeł oprogramowania oraz rozwinięta detekcja zachowań poeksploatacyjnych na hostach i w sieci.
Źródła
- The Hacker News — Lazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor — https://thehackernews.com/2026/08/lazarus-exploits-windows-zero-day-to.html
- Microsoft Security Response Center — CVE-2026-68820 — https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-68820
- Microsoft Support — App & browser control in the Windows Security app — https://support.microsoft.com/en-us/windows/security/windows-security/app-browser-control-in-the-windows-security-app
- NVD — CVE-2025-49113 — https://nvd.nist.gov/vuln/detail/CVE-2025-49113
- Check Point Research — analiza kampanii Lazarus / Dream Job — https://research.checkpoint.com/