Zero-day do Windows AFD.sys desliga 94 canais de monitoramento e leva Lazarus ao coração da defesa europeia

A Check Point Research publicou nesta segunda-feira o relatório completo sobre a nova onda da Operação Dream Job, o esquema de espionagem norte-coreano que agora usa ofertas de emprego falsas para instalar um backdoor inédito chamado Troy e explorar a vulnerabilidade CVE-2026-68820 no driver AFD.sys do Windows. O texto encerra a janela de cinco semanas que o grupo Lazarus teve para operar antes de a Microsoft aplicar o patch, no dia 11 de agosto.

A CVE-2026-68820 é um use-after-free no Ancillary Function Driver for WinSock. O CVSS ficou em 7.0 porque o atacante precisa de código já rodando na máquina, mas o efeito prático é a escalada imediata para SYSTEM. Uma vez em SYSTEM, o Lazarus carrega em memória o FudModule, um rootkit kernel-mode que a Check Point diz ter derrubado 94 canais de telemetria de segurança de uma vez. É o número que interessa ao CISO: um EDR sem canal não vê o atacante.

Como a ofensiva funciona por dentro

A vítima recebe uma mensagem de recrutador via LinkedIn, com posto e salário condizentes com sua carreira. O anexo é um PDF cifrado que só abre no SecurityPDF, um leitor trojanizado distribuído pelo próprio Lazarus. Ao instalar o leitor, o alvo aciona a cadeia: primeiro o loader MISTPEN garante persistência, depois o módulo local de escalada dispara a CVE-2026-68820, e por fim o Troy é gravado em disco. Segundo a Check Point, o Troy é uma DLL única com capacidade de reconhecimento de rede, coleta de credenciais, execução remota e desligamento dos canais de EDR.

O comando e controle não vem de infraestrutura própria do Lazarus. O grupo comprometeu ao menos 17 nós relays em instalações vulneráveis de Roundcube Webmail e WordPress, muitos deles ainda expostos à CVE-2025-49113 divulgada em 2025. O tráfego malicioso sai da vítima parecendo pedido HTTP normal para um servidor de e-mail de uma pequena empresa francesa que já foi comprometida antes; nada em log de proxy alerta o SOC.

Os alvos e o mapa geográfico

A campanha, ativa desde julho, atingiu contratantes de aviação e aeronáutica na França, Alemanha, Índia e Brasil, segundo o Security Affairs confirmou com base nos indicadores de comprometimento da Check Point. Uma empresa francesa comprometida foi reaproveitada como ponto de partida para spear phishing contra terceiros, o que aumenta a superfície de dano sem que o Lazarus precise renovar sua infra.

Na Índia, o alvo natural são os polos aeroespaciais em Bengaluru e Hyderabad, onde a HAL e integradoras subsidiárias trocam código e projetos com clientes ocidentais. No Brasil, a Embraer e sua cadeia de fornecedores em São José dos Campos e Botucatu operam com engenharia integrada às contratantes americanas e europeias, o que torna qualquer engenheiro sênior local um alvo de interesse. A Check Point não nomeou vítimas, mas os setores citados são consistentes com a operação de firmas de defesa e aviação nesses hubs.

O que muda para o CISO na terça-feira de manhã

O patch da Microsoft já está disponível desde 11 de agosto; qualquer ambiente com atraso maior que sete dias na aplicação do KB de agosto está exposto. A recomendação técnica da Check Point é acompanhar o patch com regra de detecção para carregamento de DLL única em processos de leitor de PDF fora do padrão corporativo, e endurecer a política de download de utilitários de terceiros. Segundo Sergey Shykevich, gerente do grupo de inteligência de ameaças da Check Point, o Lazarus continuará usando LinkedIn como vetor de entrada, e o único filtro que funciona é o processo interno de recrutamento, não a ferramenta.

Eva Chen, CEO da Trend Micro, disse à Reuters neste mês que a proporção de ataques com uso de kernel-mode rootkits mais do que dobrou desde o início do ano. A Trend defende que a resposta correta é migrar a telemetria para fora do kernel, apostando em observabilidade a partir do hypervisor. O contra-argumento, feito por analistas do Mandiant no mesmo relatório, é que o custo operacional dessa migração ainda é maior do que o dano estimado. Para o head de detecção de uma integradora brasileira que atende a Embraer e um segundo cliente do setor aeronáutico, que falou em condição de anonimato, o mais urgente na terça-feira é auditar a lista de PDFs baixados por engenheiros seniores nas últimas seis semanas e comparar hashes com os indicadores de comprometimento publicados pela Check Point. É um trabalho manual que consome três dias de um analista de resposta, mas é o filtro que separa quem foi só alvo de quem foi vítima. A campanha do Lazarus não desmonta com patch; desmonta com processo.