Lazarus Group explora zero-day no Windows para atacar empresas de defesa na Europa e na Índia

O Grupo Lazarus, da Coreia do Norte, está explorando ativamente uma vulnerabilidade zero-day no Windows (CVE-2026-68820) para atacar empresas dos setores de defesa, aeroespacial e aviação na França, Alemanha, Índia e Brasil. A informação é de uma nova pesquisa da Check Point publicada às vésperas do Patch Tuesday de agosto de 2026 da Microsoft. A Microsoft corrigiu a falha em 12 de agosto de 2026, sinalizando exploração ativa em ambiente real. A CISA determinou que todas as agências federais americanas apliquem a correção até 25 de agosto.

O que a vulnerabilidade faz

A CVE-2026-68820 é uma falha de use-after-free no Windows Ancillary Function Driver for WinSock (AFD.sys), um componente em modo kernel presente em praticamente todos os sistemas Windows 11. A exploração permite que um usuário autenticado localmente acione uma race condition que eleva seus privilégios ao nível SYSTEM — sem qualquer interação da vítima. O Patch Tuesday de agosto da Microsoft corrigiu 421 CVEs no total; esta foi a única confirmada como ativamente explorada.

Não é a primeira vez que o Lazarus mira uma zero-day no AFD.sys. O grupo explorou uma falha semelhante no mesmo driver em 2024, que também foi usada para implantar o FudModule. O fato de o mesmo driver ser visado repetidamente sugere que o Lazarus desenvolveu uma expertise interna considerável em exploração de Windows em nível de kernel.

O novo arsenal da Operação Dream Job

O ataque é entregue por meio da Operação Dream Job, a campanha de engenharia social de longa data do Lazarus, que usa ofertas falsas de recrutamento — se passando por vagas em empresas do setor de defesa — para atrair funcionários das organizações-alvo. Uma vez obtido o acesso inicial, o exploit zero-day eleva os privilégios e instala a versão mais recente do rootkit em modo kernel FudModule.

Essa nova variante do FudModule amplia as capacidades anteriores do grupo. Além da habilidade já documentada de desativar a telemetria de EDR e interferir em produtos de segurança, agora ela inclui a manipulação do Smart App Control — uma técnica que compromete uma das defesas nativas do Windows 11 contra aplicativos não assinados.

A Check Point também identificou um backdoor até então desconhecido chamado Troy, implantado junto ao FudModule. O Troy suporta 17 comandos, incluindo reconhecimento de sistema e processos, upload e download de arquivos, exfiltração via arquivos compactados, execução oculta de comandos, encerramento remoto de processos, injeção de DLL em memória e atualização de configurações de beacon timing. Em pelo menos um caso confirmado, os atacantes comprometeram uma organização de defesa francesa e a usaram como ponto de apoio para spear-phishing de outros alvos.

O que as organizações devem fazer

A atualização do Patch Tuesday de agosto de 2026 corrige a CVE-2026-68820 e deve ser tratada com urgência por qualquer organização que opere nos setores de defesa, aeroespacial, aviação ou governo. O prazo de 25 de agosto da CISA se aplica apenas a agências federais, mas a linha do tempo da exploração ativa — o Lazarus usa o exploit pelo menos desde o início de julho de 2026 — significa que a vulnerabilidade ficou exposta por mais de um mês antes da correção. Organizações que ainda não aplicaram a atualização estão vivendo de prazo emprestado.

A análise técnica completa da Check Point, incluindo os indicadores de comprometimento do FudModule e do backdoor Troy, foi publicada junto com o lançamento do Patch Tuesday, conforme reportado inicialmente pelo BleepingComputer.