Lazarus nutzt Windows-Zero-Day für SYSTEM-Rechte aus

Kampagne gegen Verteidigungs- und Luftfahrtunternehmen

Check Point Research schreibt der Lazarus Group eine Cyber-Spionagekampagne gegen Unternehmen aus der Verteidigungs- und Luftfahrtbranche in Frankreich, Deutschland, Brasilien und Indien zu.

Die Aktivitäten sind Teil der Operation Dream Job, bei der gefälschte Stellenangebote und Kontakte über LinkedIn zum Einsatz kommen. Die Angreifer treten auch als Recruiter von Unternehmen wie Lockheed Martin und Enveil auf.

Die Kampagne nutzt die Zero-Day-Schwachstelle CVE-2026-68820 mit einem CVSS-Score von 7.0, um lokale Privilegien bis hin zu SYSTEM zu erhöhen. Betroffen ist der Windows-Treiber Ancillary Function Driver for WinSock, bekannt als AFD.sys.

Microsoft hat die Schwachstelle mit den Patch-Tuesday-Updates vom August 2026 behoben. Welche Windows-Versionen genau betroffen sind, wurde nicht bekannt gegeben.

Zwei Angriffsketten zur Verteilung der Backdoors

Bei der ersten Technik lädt das Opfer ein verschlüsseltes Archiv herunter, das eine Kette von DLL-Side-Loading startet. Die Datei libmupdf.dll zeigt eine gefälschte Stellenbeschreibung an und lädt den Downloader MISTPEN in den Speicher.

MISTPEN nutzt die Microsoft Graph API und OneDrive, um Module zur Aufklärung und Persistenz abzurufen. Dazu gehören:

• Release_GetInfoPlugin_x64.dll, das den Host profiliert;
• Release_PvPlugin_x64.dll, das Systeminformationen und aktive Prozesse erfasst;
• OneScreenCapture64.dll, das alle Monitore aufzeichnen und JPEG-Bilder übertragen kann;
• ein Loader, der Daten sammelt, mit ML-KEM kryptografisches Material erzeugt und FudModule ausführt.

Nach der Ausnutzung von AFD.sys verteilen die Angreifer ForestTiger, auch bekannt als ScoringMathTea, eine Backdoor für den Fernzugriff.

Eine zweite Angriffskette verwendet einen trojanisierten PDF-Reader namens SecurityPDF. Die Zielpersonen werden auf mindestens drei Websites geleitet, die Enveil imitieren. Eine davon erschien bei der Suche nach „Enveil SecurityPDF“ unter den ersten Ergebnissen.

SecurityPDF überprüft die geöffneten Dokumente und sucht nach folgendem Marker:

This document is encrypted with sumatrapdf reader!!!!!!!!!!!!

Wird der Marker gefunden, entschlüsselt die Malware das eingebettete Payload und lädt die Backdoor Troy in den Speicher. Die Malware verfügt über 17 Befehle zum Auflisten von Dateien, Übertragen von Daten, Erstellen von Archiven, Öffnen interaktiver Shells, Beenden von Prozessen, Injizieren von DLLs und Aktualisieren der Konfiguration.

Rootkit und Umgehung von Windows-Sicherheitskontrollen

Die Kampagne setzt FudModule 3.1 ein, eine aktualisierte Version des von Lazarus mindestens seit 2022 verwendeten Kernel-Mode-Rootkits.

Die Komponente manipuliert Smart App Control, eine Windows-Funktion zur Bewertung der Vertrauenswürdigkeit von Programmen. In einem unter SYSTEM-Rechten gestarteten msiexec.exe-Kindprozess führt FudModule folgende Aktionen aus:

• setzt VerifiedAndReputablePolicyState auf null;
• ruft NtSetSystemInformation mit der Klasse 0xA4 und der Option 0x10000000 auf;
• erzwingt das erneute Laden der Code-Integritätsrichtlinie.

Der AFD.sys-Exploit ermöglicht außerdem, eine zusätzliche MISTPEN-Instanz in einen SYSTEM-Prozess zu injizieren, wodurch die Erkennung durch Sicherheitssoftware erschwert wird.

Die Auswirkungen umfassen somit lokale Rechteausweitung, Ausführung im Speicher, Persistenz, Informationsbeschaffung, Bildschirmaufzeichnung, Fernzugriff, Exfiltration und Prozessmanipulation.

Was geprüft werden sollte und wie Unternehmen reagieren können

Die wichtigste Maßnahme besteht darin, die Microsoft-Updates des Patch Tuesday vom August 2026 zu installieren, mit denen CVE-2026-68820 behoben wird.

Sicherheitsteams sollten außerdem nach folgenden Indikatoren suchen:

• libmupdf.dll;
• Release_GetInfoPlugin_x64.dll;
• Release_PvPlugin_x64.dll;
• OneScreenCapture64.dll;
• ungewöhnliche Aktivitäten von msiexec.exe;
• dem mit SecurityPDF verbundenen PDF-Marker;
• verdächtigen Änderungen an Smart App Control;
• ungewöhnlichen Ladevorgängen aus OneDrive oder Aufrufen der Microsoft Graph API.

Unternehmen aus der Verteidigungs- und Luftfahrtbranche sollten Stellenangebote, die über LinkedIn eingehen, sowie Dokumente oder Tools aus Domains, die legitime Unternehmen imitieren, besonders sorgfältig prüfen.