Lazarus nutzt Zero-Day in Windows-Treiber aus und installiert Rootkit in Angriffen auf Verteidigungs- und Luftfahrtsektor

Microsoft hat am Dienstag, den 11. August, eine Schwachstelle im Windows-Treiber AFD.sys behoben, die von nordkoreanischen Operatoren aktiv ausgenutzt wurde, um ein Rootkit auf kompromittierten Maschinen zu installieren. Die Verwundbarkeit erhielt die Identifikationsnummer CVE-2026-68820, eine CVSS-Punktzahl von 7,0 und eine wichtige Einstufung, jedoch rechtfertigt der Umfang der Kampagne dahinter eine größere Aufmerksamkeit, als die Bewertung vermuten lässt.

AFD.sys ist der Ancillary Function Driver for WinSock, ein Kernel-Modus-Komponent, der als Rückgrat der Windows-Socket-API dient. Die Schwachstelle ist eine Use-after-Free-Schwachstelle und erfordert das Auslösen einer Race Condition im Treiber. Lokal ausgenutzt, ermöglicht es einem Angreifer, der bereits auf der Maschine aktiv ist, sich ohne jegliche Benutzerinteraktion auf SYSTEM-Rechte zu erhöhen.

FudModule v3.1: Was kommt nach der Eskalation

Das Detail, das die Betrachtung verändert, ist das nach der Eskalation gelieferte Payload. Laut Forschern von Check Point, die den verantwortungsvollen Hinweis an den Anbieter gaben, wird das installierte Binary als FudModule v3.1 bezeichnet, das Signatur von Lazarus für den Kernel-Modus. Die neue Version entfernt Telemetrie-Callbacks, deaktiviert Minifilter, beendet den NT Kernel Logger und verschleiert mehr als 90 ETW-Anbieter. Teams, die auf den nativen Windows-Audit Trails zur Bedrohungssuche angewiesen sind, haben in bereits kompromittierten Endpunkten nahezu keine Sichtbarkeit mehr.

Die Erkennung des FudModule durch sein Verhalten ist schwieriger geworden, da die Version 3.1 darauf ausgelegt ist, die Telemetriequellen zu deaktivieren, auf die typische EDRs angewiesen sind. Die Mindestempfehlung besteht darin, den Patch vom Dienstag sofort auf exponierten Servern und Ingenieurstationen anzuwenden und die ETW-Eventaufzeichnung stichprobenartig zu überprüfen, um anomale Volumenrückgänge zu identifizieren, die auf eine Kompromittierung vor der Veröffentlichung hinweisen könnten.

Operation Dream Job: geografische Reichweite

Die Ausnutzung ist Teil der sogenannten Operation Dream Job, einer Spionagekampagne, die Check Point seit Anfang 2026 verfolgt und die sich auf Verteidigung, Luftfahrt und Luftfahrtwesen konzentriert. Bestätigte Aktivitäten wurden in Europa, Indien und Brasilien sowie in anderen Regionen beobachtet. Das Muster ist bekannt: Ansprache über LinkedIn mit falschen Stellenangeboten für Ingenieure und Forscher, gefolgt von kontaminierten Anhängen, die als Brückenkopf für das Rootkit dienen.

In Indien ist das Ziel in der Regel die heimische Verteidigungsindustrie und die von westlichen Primärunternehmen ausgelagerten Ingenieurzentren, zwei Vektoren, die in den letzten Jahren mit dem Programm Make in India an Volumen gewonnen haben. In Brasilien ist die Erwähnung operativ, nicht geopolitisch: Lokale Anbieter in den Luft- und Raumfahrt- und Verteidigungsketten sind oft Teil internationaler Konsortien mit europäischen und indischen Partnern, und genau diese Schnittstelle neigt die Gruppe dazu, auszunutzen. Embraer, Atech und IMBEL haben bis zum Abschluss dieses Berichts nicht auf Anfragen zur Exposition gegenüber dieser spezifischen Kampagne reagiert.

Der Patch Tuesday im Zusammenhang mit der Schwachstelle

Neben der CVE-2026-68820 brachte das August-Paket Fixes für etwa 398 Schwachstellen, drei von ihnen Zero-Days laut Microsoft. Die beiden anderen wurden bisher nicht öffentlich mit aktiver Ausnutzung in Verbindung gebracht. Der Zyklus umfasst schwerwiegende Remote-Code-Execution-Bugs, darunter die CVE-2026-62893 im TFTP-Dienst der Windows Deployment Services (CVSS 9,8) und die CVE-2026-55040 in der SharePoint Server Subscription Edition, 2019 und 2016 (CVSS 9,1). Keiner von beiden wurde bis zu diesem Morgen bei der Ausnutzung beobachtet, aber beide ermöglichen unautorisierte Remote-Code-Ausführung in Umgebungen, die viele Teams noch intern exponiert halten.

Die gewohnte Priorisierungsreihenfolge, kritische RCEs zuerst zu behandeln, muss hier umgekehrt werden. Ein RCE ohne bekannte Ausnutzung geht in den normalen Zyklus ein. Ein Zero-Day im Kernel, der bereits von einer staatlichen Gruppe gegen Ziele der Verteidigung und Luftfahrt eingesetzt wird, mit einem Rootkit, das dazu entworfen wurde, EDR zu blenden, hat eine andere Einstufung. Für CISOs von Beratungsunternehmen, die in diesen Sektoren in mehr als einer Geographie tätig sind, gehört die CVE-2026-68820 zur Vorfallwarteschlange, nicht zur Patchwarteschlange.

Microsoft hat öffentlich keine spezifischen Opfer mit der Ausnutzung verbunden, und Check Point hielt sich an den Standard, Kunden nicht zu benennen. Was im Register steht, ist die Zuordnung zu Lazarus, das Rootkit und die Liste der betroffenen Sektoren. Für Sicherheitsberatungsteams, die in multinationalen Umgebungen nach Bedrohungen suchen, ist dies der Anstoß, die Telemetrie der letzten 60 Tage zu überprüfen, anstatt auf das nächste Bulletin zu warten.