Lazarus associé à des attaques exploitant une vulnérabilité zero-day de Windows et distribuant la porte dérobée Troy

Le groupe Lazarus, lié à la Corée du Nord, a été observé en train d’exploiter une vulnérabilité récemment corrigée de Windows lors d’attaques visant des organisations de la défense et de l’aérospatiale, selon une étude de Check Point. La campagne a ciblé des victimes en France, en Allemagne, au Brésil et en Inde, et a distribué une porte dérobée jusque-là inconnue appelée Troy.

Cette activité s’inscrit dans le cadre de la campagne de longue durée « Operation Dream Job », au cours de laquelle les opérateurs de Lazarus se font passer pour des recruteurs et contactent des professionnels sur des plateformes telles que LinkedIn. Les victimes se voient proposer des offres d’emploi convaincantes et sont incitées à ouvrir des documents malveillants ou à installer un logiciel présenté comme un lecteur PDF.

Exploitation et distribution de logiciels malveillants

La faille exploitée, suivie sous l’identifiant CVE-2026-68820, affecte le pilote Ancillary Function Driver for WinSock de Windows, ou AFD.sys. Microsoft a corrigé cette vulnérabilité d’élévation de privilèges dans ses mises à jour de sécurité d’août 2026. Check Point a indiqué avoir signalé le problème fin juillet, mais avoir identifié des preuves d’exploitation réussie remontant au début du mois de juin.

Les chercheurs ont identifié deux principales voies d’infection. Dans la première, une archive chiffrée lance une chaîne de chargement latéral de DLL. Une bibliothèque malveillante affiche une fausse offre d’emploi tout en chargeant le téléchargeur MISTPEN en mémoire. MISTPEN peut recueillir des informations sur le système, énumérer les processus, capturer des captures d’écran et obtenir des composants supplémentaires, notamment des outils utilisés pour exploiter la faille AFD.sys.

La seconde voie utilise une fausse application SecurityPDF distribuée via des sites web usurpant l’identité de l’entreprise de sécurité Enveil. L’application recherche un marqueur spécifique dans les documents ouverts et, lorsqu’il est présent, déchiffre une charge utile intégrée qui charge directement Troy en mémoire. La porte dérobée offre notamment des fonctionnalités de transfert de fichiers, d’archivage de données, d’accès à un shell, d’arrêt de processus, de modification de la configuration et d’injection de DLL en mémoire.

Rootkit et infrastructure compromise

Après avoir obtenu des privilèges de niveau SYSTEM, les attaquants injecteraient des logiciels malveillants dans un processus privilégié et déploieraient FudModule 3.1, une version mise à jour d’un rootkit au niveau du noyau. Cet outil peut interférer avec Smart App Control et les mécanismes de politique d’intégrité du code de Windows, contribuant ainsi à dissimuler l’intrusion et à affaiblir les protections de sécurité.

Plutôt que de s’appuyer uniquement sur une infrastructure dédiée de commande et de contrôle, Lazarus a utilisé des serveurs WordPress, SharePoint et Roundcube compromis. Certains systèmes Roundcube auraient été compromis via la CVE-2025-49113 et équipés d’un web shell PHP appelé RelayShell. La campagne comprenait également au moins trois domaines imitant Enveil et, dans un cas, a utilisé une organisation française préalablement compromise pour distribuer des messages d’hameçonnage.

L’opération montre comment l’ingénierie sociale, des marques de confiance, des sites web compromis et l’exploitation de vulnérabilités zero-day peuvent être combinés pour contourner les défenses traditionnelles contre l’hameçonnage et conserver l’accès à des cibles de grande valeur.