Lazarus Group nutzt Windows-Zero-Day-Lücke für Angriffe auf Rüstungsunternehmen in Europa und Indien

Die Lazarus Group aus Nordkorea nutzt aktiv eine Windows-Zero-Day-Lücke (CVE-2026-68820) aus, um Unternehmen aus den Bereichen Verteidigung, Luft- und Raumfahrt sowie Luftfahrt in Frankreich, Deutschland, Indien und Brasilien anzugreifen. Das geht aus neuer Forschung von Check Point hervor, die kurz vor Microsofts Patch Tuesday im August 2026 veröffentlicht wurde. Microsoft schloss die Lücke am 12. August 2026 und stufte sie als aktiv ausgenutzt ein. Die CISA hat allen US-Bundesbehörden auferlegt, den Fix bis zum 25. August einzuspielen.

Was die Schwachstelle bewirkt

CVE-2026-68820 ist ein Use-after-free-Fehler im Windows Ancillary Function Driver for WinSock (AFD.sys), einer Kernel-Komponente, die auf nahezu allen Windows-11-Systemen vorhanden ist. Die Ausnutzung erlaubt es einem lokal authentifizierten Benutzer, eine Race Condition auszulösen, die seine Rechte auf SYSTEM-Ebene hebt – ganz ohne Interaktion des Opfers. Microsofts August-Patch-Tuesday umfasste insgesamt 421 CVEs; dies war die einzige, die als aktiv ausgenutzt bestätigt wurde.

Es ist nicht das erste Mal, dass Lazarus einen AFD.sys-Zero-Day einsetzt. Die Gruppe nutzte 2024 eine ähnliche Lücke im selben Treiber aus – ebenfalls um FudModule zu deployen. Die wiederholte Ausrichtung auf diesen Treiber deutet darauf hin, dass Lazarus intern erhebliche Expertise in der Kernel-Exploitation unter Windows aufgebaut hat.

Das neue Toolkit von Operation Dream Job

Der Angriff wird über Operation Dream Job ausgeliefert, Lazarus' seit Jahren laufende Social-Engineering-Kampagne, die mit gefälschten Jobangeboten – getarnt als Stellenausschreibungen von Rüstungsunternehmen – Mitarbeiter in Zielorganisationen anlockt. Sobald der initiale Zugang gesichert ist, hebt der Zero-Day-Exploit die Rechte an und installiert die neueste Version des FudModule-Kernel-Rootkits.

Diese neue FudModule-Variante erweitert die bisherigen Fähigkeiten der Gruppe. Neben der bereits dokumentierten Fähigkeit, EDR-Telemetrie zu deaktivieren und Sicherheitsprodukte zu stören, kommt nun Smart App Control Tampering hinzu – eine Technik, die eine der integrierten Windows-11-Schutzfunktionen gegen unsignierte Anwendungen untergräbt.

Check Point hat außerdem eine bislang undokumentierte Backdoor namens Troy identifiziert, die gemeinsam mit FudModule eingesetzt wird. Troy unterstützt 17 Befehle, darunter System- und Prozess-Reconnaissance, File Upload und Download, archivbasierte Exfiltration, verdeckte Befehlsausführung, Remote-Prozessbeendigung, In-memory-DLL-Injection sowie Konfigurationsupdates für das Beacon-Timing. In mindestens einem bestätigten Fall kompromittierten die Angreifer eine französische Verteidigungsorganisation und nutzten sie als Sprungbrett für Spear-Phishing-Angriffe auf weitere Ziele.

Was Organisationen jetzt tun sollten

Das August-2026-Patch-Tuesday-Update schließt CVE-2026-68820 und sollte von jeder Organisation in den Bereichen Verteidigung, Luft- und Raumfahrt, Luftfahrt oder im öffentlichen Sektor als dringend behandelt werden. Die CISA-Frist vom 25. August gilt zwar nur für Bundesbehörden – doch angesichts der aktiven Ausnutzungszeitlinie, Lazarus setzt den Exploit mindestens seit Anfang Juli 2026 ein, war die Lücke über einen Monat lang in freier Wildbahn aktiv, bevor sie gepatcht wurde. Organisationen, die das Update noch nicht eingespielt haben, spielen auf Zeit.

Check Points vollständige technische Analyse, einschließlich Indicators of Compromise für FudModule und die Troy-Backdoor, wurde zeitgleich mit dem Patch-Tuesday-Release veröffentlicht, wie BleepingComputer als erstes berichtete.