Lazarus explora zero-day em driver do Windows e instala rootkit em ataques a defesa e aeroespacial
Grupo norte-coreano usou a CVE-2026-68820 no AFD.sys para escalar privilégios a SYSTEM em campanha global de espionagem. Microsoft corrigiu no Patch Tuesday de agosto, apenas dias após a divulgação da Check Point.
A Microsoft corrigiu nesta terça-feira, 11 de agosto, uma falha no driver AFD.sys do Windows que operadores ligados à Coreia do Norte vinham explorando ativamente para instalar um rootkit em máquinas comprometidas. A vulnerabilidade recebeu o identificador CVE-2026-68820, pontuação CVSS 7,0 e classificação important, mas o alcance da campanha por trás dela justifica atenção maior do que a nota sugere.
AFD.sys é o Ancillary Function Driver for WinSock, componente de modo kernel que serve de espinha dorsal da API de sockets do Windows. A falha é do tipo use-after-free e depende de disparar uma condição de corrida no driver. Explorada localmente, permite que um atacante já com execução na máquina eleve-se para privilégios SYSTEM sem qualquer interação do usuário.
FudModule v3.1: o que vem depois da escalada
O detalhe que muda a leitura é o payload entregue após a escalada. Segundo pesquisadores da Check Point, que fizeram a divulgação responsável ao fornecedor, o binário instalado é o FudModule v3.1, a assinatura do Lazarus para o modo kernel. A nova versão retira callbacks de telemetria, desativa minifilters, encerra o NT Kernel Logger e cega mais de 90 provedores ETW. Times que dependem das trilhas de auditoria nativas do Windows para caça a ameaças ficam praticamente sem visibilidade em endpoints já comprometidos.
Detectar o FudModule pelo comportamento tornou-se mais difícil justamente porque a versão 3.1 foi projetada para desativar as fontes de telemetria em que EDRs típicos se apoiam. A recomendação mínima é aplicar o patch de terça imediatamente em servidores expostos e estações de engenharia, e revisar a captura de eventos ETW em amostragem para identificar quedas anômalas de volume que possam indicar comprometimento anterior à divulgação.
Operation Dream Job: alcance geográfico
A exploração integra a chamada Operation Dream Job, campanha de espionagem que a Check Point rastreia desde o início de 2026 e que mira defesa, aeroespacial e aviação. Atividade confirmada foi observada na Europa, na Índia e no Brasil, entre outras regiões. O padrão é conhecido: aproximação via LinkedIn com falsas ofertas de emprego para engenheiros e pesquisadores, seguida de anexos contaminados que servem como cabeça de ponte para o rootkit.
Na Índia, o alvo direto costuma ser a base industrial de defesa doméstica e os centros de engenharia terceirizados por primes ocidentais, dois vetores que ganharam volume nos últimos anos com o programa Make in India. No Brasil, a menção é operacional, não geopolítica: fornecedores locais das cadeias aeroespacial e de defesa costumam integrar consórcios internacionais com contrapartes europeias e indianas, e é essa intersecção que o grupo tende a explorar. Embraer, Atech e IMBEL não responderam a pedidos de comentário sobre exposição a essa campanha específica até o fechamento desta matéria.
O Patch Tuesday em torno da falha
Além do CVE-2026-68820, o pacote de agosto trouxe correções para cerca de 398 vulnerabilidades, três delas zero-days segundo a contagem da Microsoft. As outras duas ainda não foram associadas publicamente a exploração ativa. O ciclo inclui bugs de execução remota de código de gravidade superior, entre eles o CVE-2026-62893 no serviço TFTP do Windows Deployment Services (CVSS 9,8) e o CVE-2026-55040 no SharePoint Server Subscription Edition, 2019 e 2016 (CVSS 9,1). Nenhum dos dois foi observado sendo explorado até esta manhã, mas ambos abrem caminho para código remoto sem autenticação em ambientes que muitos times ainda mantêm expostos internamente.
A ordem de prioridade que vem por hábito, tratar RCEs críticos primeiro, precisa ser invertida aqui. Um RCE sem exploração conhecida entra no ciclo normal. Um zero-day de kernel já sendo usado por um grupo estatal contra alvos de defesa e aviação, com rootkit projetado para cegar EDR, tem outra classificação. Para CISOs de consultorias que atendem esses setores em mais de uma geografia, o CVE-2026-68820 pertence à fila de incidente, não à de patch.
A Microsoft não vinculou publicamente vítimas específicas à exploração, e a Check Point manteve-se dentro do padrão de não citar clientes. O que está no registro é a atribuição ao Lazarus, o rootkit e a lista de setores atingidos. Para consultorias de segurança que fazem hunt em ambientes multinacionais, esse é o gatilho para revisar telemetria dos últimos 60 dias em vez de aguardar o próximo boletim.