Lazarus collegato ad attacchi zero-day contro Windows con distribuzione del backdoor Troy

Il gruppo Lazarus, legato alla Corea del Nord, è stato osservato mentre sfruttava una vulnerabilità di Windows recentemente corretta in attacchi contro organizzazioni del settore della difesa e aerospaziale, secondo una ricerca di Check Point. La campagna ha preso di mira vittime in Francia, Germania, Brasile e India e ha distribuito un backdoor precedentemente non documentato noto come Troy.

L’attività rientra nella campagna di lunga durata “Operation Dream Job”, nella quale gli operatori di Lazarus si spacciano per selezionatori e contattano professionisti attraverso piattaforme come LinkedIn. Alle vittime vengono presentate opportunità di lavoro convincenti e viene chiesto di aprire documenti dannosi o installare software pubblicizzato come visualizzatore PDF.

Sfruttamento e distribuzione del malware

La vulnerabilità sfruttata, identificata come CVE-2026-68820, interessa il Windows Ancillary Function Driver for WinSock, ovvero AFD.sys. Microsoft ha corretto la vulnerabilità di escalation dei privilegi negli aggiornamenti di sicurezza di agosto 2026. Check Point ha dichiarato di aver segnalato il problema alla fine di luglio, ma di aver individuato prove di sfruttamento riuscito risalenti all’inizio di giugno.

I ricercatori hanno identificato due principali percorsi di infezione. Nel primo, un archivio crittografato avvia una catena di DLL side-loading. Una libreria dannosa mostra una descrizione di lavoro fraudolenta mentre carica in memoria il downloader MISTPEN. MISTPEN può raccogliere informazioni sul sistema, enumerare i processi, acquisire schermate e ottenere componenti aggiuntivi, inclusi strumenti utilizzati per sfruttare la vulnerabilità AFD.sys.

Il secondo percorso utilizza una falsa applicazione SecurityPDF distribuita tramite siti web che imitano la società di sicurezza Enveil. L’applicazione cerca un indicatore specifico nei documenti aperti e, quando lo rileva, decritta un payload incorporato che carica Troy direttamente in memoria. Il backdoor supporta funzionalità tra cui il trasferimento di file, l’archiviazione dei dati, l’accesso alla shell, la terminazione dei processi, la modifica della configurazione e l’iniezione di DLL in memoria.

Rootkit e infrastruttura compromessa

Dopo aver ottenuto privilegi a livello SYSTEM, gli aggressori avrebbero iniettato il malware in un processo privilegiato e distribuito FudModule 3.1, un rootkit del kernel aggiornato. Lo strumento può interferire con Smart App Control e con i meccanismi delle policy di integrità del codice di Windows, contribuendo a occultare l’intrusione e indebolire le protezioni di sicurezza.

Anziché affidarsi esclusivamente a un’infrastruttura dedicata di comando e controllo, Lazarus ha utilizzato server WordPress, SharePoint e Roundcube compromessi. Secondo quanto riportato, alcuni sistemi Roundcube sono stati violati tramite CVE-2025-49113 e dotati di una web shell PHP chiamata RelayShell. La campagna includeva inoltre almeno tre domini che imitavano Enveil e, in un caso, ha utilizzato un’organizzazione francese precedentemente compromessa per distribuire messaggi di phishing.

L’operazione dimostra come l’ingegneria sociale, i marchi affidabili, i siti web compromessi e lo sfruttamento di vulnerabilità zero-day possano essere combinati per aggirare le difese antiphishing convenzionali e mantenere l’accesso a obiettivi di alto valore.