Lazarus Group exploite une faille zero-day Windows pour cibler des entreprises de défense en Europe et en Inde

Le groupe nord-coréen Lazarus exploite activement une faille zero-day dans Windows (CVE-2026-68820) pour cibler des entreprises des secteurs de la défense, de l'aérospatiale et de l'aviation en France, en Allemagne, en Inde et au Brésil. C'est ce que révèle une nouvelle étude de Check Point, publiée en amont du Patch Tuesday d'août 2026 de Microsoft. Microsoft a corrigé la faille le 12 août 2026 en précisant qu'elle était activement exploitée dans la nature. La CISA a ordonné à l'ensemble des agences fédérales américaines d'appliquer le correctif avant le 25 août.

Ce que fait la vulnérabilité

CVE-2026-68820 est une faille use-after-free dans le pilote Windows Ancillary Function Driver for WinSock (AFD.sys), un composant fonctionnant en mode noyau présent sur la quasi-totalité des systèmes Windows 11. Son exploitation permet à un utilisateur authentifié localement de déclencher une race condition qui élève ses privilèges au niveau SYSTEM — sans aucune interaction de la part de la cible. Le Patch Tuesday d'août de Microsoft a corrigé 421 CVE au total ; celle-ci est la seule confirmée comme activement exploitée.

Ce n'est pas la première faille zero-day dans AFD.sys exploitée par Lazarus. Le groupe avait déjà tiré parti d'une vulnérabilité similaire dans ce même pilote en 2024, également utilisée pour déployer FudModule. Le fait que ce pilote soit à nouveau dans le viseur suggère que Lazarus a développé une expertise interne solide en matière d'exploitation Windows au niveau du noyau.

La nouvelle boîte à outils d'Operation Dream Job

L'attaque passe par Operation Dream Job, la campagne de social engineering de longue date de Lazarus, qui utilise de fausses offres de recrutement — se faisant passer pour des annonces d'emploi chez des contractants de défense — pour attirer des employés d'organisations ciblées. Une fois l'accès initial obtenu, l'exploit zero-day élève les privilèges et installe la dernière version du rootkit en mode noyau FudModule.

Ce nouveau variant de FudModule élargit les capacités précédentes du groupe. En plus de son aptitude documentée à désactiver la télémétrie EDR et à interférer avec les produits de sécurité, il intègre désormais une technique de contournement du Smart App Control — l'une des défenses natives de Windows 11 contre les applications non signées.

Check Point a également identifié une backdoor jusque-là inconnue, baptisée Troy, déployée conjointement à FudModule. Troy prend en charge 17 commandes, notamment la reconnaissance système et des processus, l'upload et le download de fichiers, l'exfiltration par archive, l'exécution de commandes dissimulées, la terminaison de processus à distance, l'injection de DLL en mémoire, et la mise à jour de la configuration du beacon. Dans au moins un cas confirmé, les attaquants ont compromis une organisation française de défense et s'en sont servi comme point de rebond pour mener des campagnes de spear-phishing vers d'autres cibles.

Ce que les organisations doivent faire

La mise à jour du Patch Tuesday d'août 2026 corrige CVE-2026-68820 et doit être traitée en urgence par toute organisation évoluant dans les secteurs de la défense, de l'aérospatiale, de l'aviation ou du gouvernement. L'échéance du 25 août fixée par la CISA ne concerne que les agences fédérales, mais la chronologie de l'exploitation active — Lazarus utilise l'exploit depuis au moins début juillet 2026 — signifie que la vulnérabilité était exposée dans la nature pendant plus d'un mois avant le correctif. Les organisations qui n'ont pas encore appliqué la mise à jour jouent avec le feu.

L'analyse technique complète de Check Point, incluant les indicateurs de compromission pour FudModule et la backdoor Troy, a été publiée en parallèle de la sortie du Patch Tuesday, comme l'a rapporté en premier BleepingComputer.