Lazarus nutzt Windows-Zero-Day für Angriffe auf Rüstungsfirmen

(Source: NpicArt / stock.adobe.com)

(Source: NpicArt / stock.adobe.com)

Die mit Nordkorea in Verbindung gebrachte Lazarus-Gruppe hat in ihrer Kampagne "Operation Dream Job" die Windows-Schwachstelle CVE-2026-68820 ausgenutzt. Die jüngste Angriffswelle zielte weltweit auf Organisationen aus dem Verteidigungs-, Luftfahrt- und Raumfahrtsektor, mit Schwerpunkten in Europa und Indien, wie aus einer Analyse von Check Point hervorgeht.

Die Zero-Day-Lücke steckt im Windows-Netzwerktreiber AFD.sys. Lazarus nutzte sie, um sich weitreichende Systemrechte zu verschaffen und eine neue Version des Rootkits "FudModule" auszuführen. Dieses kann unter anderem die Telemetrie von EDR-Systemen unterdrücken, die verdächtige Aktivitäten auf Endgeräten erkennen sollen, und weitere Sicherheitssoftware stören. Check Point konnte den Einsatz der Zero-Day-Lücke seit mindestens Anfang Juli 2026 nachweisen. Nach einem Hinweis von Check Point schloss Microsoft die Lücke am 11. August mit seinen monatlichen Sicherheitsupdates.

Bereits 2024 hatte Lazarus eine andere Zero-Day-Lücke im selben Windows-Treiber AFD.sys genutzt, um "FudModule" einzusetzen. Damals handelte es sich um die Schwachstelle CVE-2024-38193.

Vom Jobangebot zur Hintertür

Als Köder nutzte Lazarus vermeintliche Stellenangebote. Check Point identifizierte zwei unterschiedliche Angriffsketten. Bei der ersten luden Zielpersonen ein verschlüsseltes ZIP-Archiv mit einem legitimen PDF-Viewer, einer schädlichen DLL und einer als PDF getarnten Nutzlast herunter. Beim Start des Viewers lud dieser über DLL-Sideloading die schädliche Bibliothek, die im Hintergrund weiteren Schadcode ausführte.

Die Grafik zeigt die DLL-Sideloading-Angriffskette von Lazarus: Über einen legitimen PDF-Viewer startet Schadcode, der weitere Module nachlädt und schliesslich den Fernzugriff auf das kompromittierte System ermöglicht. (Source: Check Point)

Bei einer neueren Angriffskette brachten die Angreifer Zielpersonen dazu, ein verschlüsseltes ZIP-Archiv mit dem manipulierten PDF-Viewer "SecurityPDF" und einer präparierten PDF-Datei herunterzuladen. Öffneten sie die Datei mit dem Viewer, startete das Programm im Hintergrund die neue Hintertür "Troy". Die Angreifer verbreiteten den manipulierten Viewer zudem über Websites, die sich als Auftritte des US-Technologieunternehmens Enveil ausgaben. Einige dieser gefälschten Seiten erschienen bei relevanten Suchanfragen weit oben in den Ergebnissen, teils sogar an erster Stelle. Hinweise auf einen Angriff auf Enveil selbst fand Check Point nicht.

Ausserdem nahm Lazarus verwundbare Roundcube-Webmail-Server ins Visier. Check Point geht davon aus, dass die Angreifer wahrscheinlich zunächst geleakte Zugangsdaten verwendeten und anschliessend die Schwachstelle CVE-2025-49113 ausnutzten, um "RelayShell" zu installieren. Die kompromittierten Server dienten als Zwischenstationen für die Kommunikation mit infizierten Systemen. 17 eindeutige Kennungen deuten laut Check Point darauf hin, dass während der Kampagne mindestens 17 kompromittierte Server als solche Relay-Knoten dienten. In mindestens einem Fall missbrauchten die Angreifer zudem die Infrastruktur einer bereits kompromittierten Organisation mit Sitz in Frankreich für gezielte Phishing-Angriffe auf weitere Ziele weltweit.

Die Kampagne verbindet gefälschte Jobangebote, manipulierte Software, eine zuvor unbekannte Windows-Lücke und gekaperte Web-Infrastruktur. Nach Einschätzung von Check Point hilft insbesondere der Missbrauch legitimer Webserver dabei, schädliche Kommunikation im normalen Netzwerkverkehr weniger auffällig erscheinen zu lassen.

Übrigens: Wie die Lazarus-Gruppe bereits 2024 eine Zero-Day-Lücke in Google Chrome mit einem gefälschten NFT-Spiel ausnutzte, lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.