Lazarus mit Windows-Zero-Day-Angriffen in Verbindung gebracht, bei denen Troy-Backdoor ausgeliefert wurde

Die mit Nordkorea verbundene Lazarus-Gruppe hat laut einer Untersuchung von Check Point eine kürzlich geschlossene Windows-Schwachstelle bei Angriffen auf Organisationen aus den Bereichen Verteidigung und Luftfahrt ausgenutzt. Die Kampagne richtete sich gegen Opfer in Frankreich, Deutschland, Brasilien und Indien und lieferte eine bislang nicht dokumentierte Backdoor namens Troy aus.

Die Aktivitäten sind Teil der langjährigen Kampagne „Operation Dream Job“, bei der sich Lazarus-Akteure als Personalvermittler ausgeben und Fachkräfte über Plattformen wie LinkedIn kontaktieren. Den Opfern werden überzeugende Stellenangebote präsentiert, und sie werden dazu gebracht, schädliche Dokumente zu öffnen oder als PDF-Viewer beworbene Software zu installieren.

Ausnutzung und Bereitstellung der Malware

Die ausgenutzte Schwachstelle CVE-2026-68820 betrifft den Windows Ancillary Function Driver for WinSock, kurz AFD.sys. Microsoft behob die Privilegienerweiterung mit den Sicherheitsupdates vom August 2026. Check Point zufolge meldete das Unternehmen die Schwachstelle Ende Juli, hatte jedoch Belege für erfolgreiche Ausnutzungen gefunden, die bis Anfang Juni zurückreichen.

Die Forscher identifizierten zwei primäre Infektionswege. Bei einem davon startet ein verschlüsseltes Archiv eine DLL-Side-Loading-Kette. Eine schädliche Bibliothek zeigt eine gefälschte Stellenbeschreibung an und lädt gleichzeitig den Downloader MISTPEN in den Arbeitsspeicher. MISTPEN kann Systeminformationen sammeln, Prozesse auflisten, Screenshots erstellen und zusätzliche Komponenten abrufen, darunter Tools zur Ausnutzung der AFD.sys-Schwachstelle.

Der zweite Weg nutzt eine gefälschte Anwendung namens SecurityPDF, die über Websites verbreitet wird, die das Sicherheitsunternehmen Enveil imitieren. Die Anwendung sucht in geöffneten Dokumenten nach einer bestimmten Markierung und entschlüsselt bei deren Vorhandensein eine eingebettete Payload, die Troy direkt in den Arbeitsspeicher lädt. Die Backdoor unterstützt unter anderem Dateiübertragungen, Datenarchivierung, Shell-Zugriff, das Beenden von Prozessen, Konfigurationsänderungen und die Injektion von DLLs in den Arbeitsspeicher.

Rootkit und kompromittierte Infrastruktur

Nachdem die Angreifer SYSTEM-Rechte erlangt hatten, injizierten sie Berichten zufolge Malware in einen privilegierten Prozess und setzten FudModule 3.1 ein, ein aktualisiertes Kernel-Rootkit. Das Tool kann Smart App Control und Mechanismen der Windows-Codeintegritätsrichtlinien beeinträchtigen. Dadurch lassen sich der Angriff besser verbergen und Sicherheitsmaßnahmen schwächen.

Anstatt sich ausschließlich auf dedizierte Command-and-Control-Infrastruktur zu verlassen, nutzte Lazarus kompromittierte WordPress-, SharePoint- und Roundcube-Server. Einige Roundcube-Systeme wurden Berichten zufolge über CVE-2025-49113 kompromittiert und mit einer PHP-Webshell namens RelayShell ausgestattet. Die Kampagne umfasste außerdem mindestens drei Domains, die Enveil imitierten, und nutzte in einem Fall eine zuvor kompromittierte französische Organisation, um Phishing-Nachrichten zu verbreiten.

Die Operation zeigt, wie sich Social Engineering, vertrauenswürdige Marken, kompromittierte Websites und die Ausnutzung von Zero-Day-Schwachstellen kombinieren lassen, um herkömmliche Phishing-Abwehrmaßnahmen zu umgehen und den Zugriff auf hochwertige Ziele aufrechtzuerhalten.