Nordkoreanische Angreifer haben eine frisch gepatchte Windows-Zero-Day-Schwachstelle genutzt, um Zielsysteme zu übernehmen. Laut Check Point knüpfen die Aktionen an eine länger laufende Kampagne an, die sich vor allem an Arbeitssuchende richtet – inklusive täuschend echter Bewerbungs- und Kontaktwege.
Für Verteidigungs- und Luftfahrtorganisationen in mehreren Ländern ist die Nachricht besonders relevant: Die neuen Angriffe kombinieren einen Zero-Day mit mehreren Modulen und Taktiken, die wie legitimer Verkehr wirken sollen. Wer schnell handelt, reduziert das Risiko deutlich.
Ein Zero-Day nach dem Patch als Startpunkt
Die neue Angriffswelle läuft seit Anfang 2026 und wird vor allem auf den Verteidigungssektor ausgerichtet. Besonders häufig genannt werden Organisationen aus den Bereichen Aerospace und Aviation in Europa und Indien. Technisch setzt die Kampagne auf eine bislang unbekannte Schwachstelle im Windows-Treiber afd.sys.
Diese Schwachstelle ist inzwischen unter CVE-2026-68820 bekannt. Dabei handelt es sich um ein Use-after-free-Problem, bei dem Angreifer eine Race Condition triggern und dadurch Systemrechte erlangen können. Entscheidend ist: Microsoft hat die Lücke am 11. August im Rahmen von Patch Tuesday behoben.
Zusätzlich hat die US-Behörde CISA die Schwachstelle in ihr KEV-Katalogsystem für bereits aktiv ausgenutzte Schwachstellen aufgenommen. Damit steigt der Handlungsdruck für Behörden und Unternehmen, das Update zeitnah einzuspielen.
Wie die Angreifer Opfer finden: Fake-Recruiting und Social Engineering
Neben der technischen Komponente spielt das Vorgehen der Angreifer eine zentrale Rolle. Check Point beschreibt, dass die Täter sich als Recruiter ausgeben und potenzielle Opfer über professionelle Plattformen oder Direktnachrichten ansprechen. Ziel: Die Betroffenen sollen eine scheinbar relevante Datei herunterladen und ausführen.
Im Kern geht es um Täuschung im Bewerbungsprozess: Statt echter Jobchancen erhalten Empfänger Komponenten, die wie harmlose Dokumente wirken. Damit treffen die Angriffe genau dort, wo viele Organisationen im Alltag am wenigsten misstrauisch sind – bei erwarteten und vertrauten Kontaktwegen.
Infektionskette 1: PDF-Umleitung, DLL-Sideloading und Mistpen
In einer beschriebenen ersten Infektionskette wird dem Opfer ein Archiv bereitgestellt. Dieses Archiv enthält unter anderem einen PDF Viewer sowie eine maliziöse DLL und eine zusätzlich verschlüsselte Nutzlast, die als PDF getarnt ist.
Für die Ausführung nutzen die Angreifer DLL-Sideloading. Dabei wird die Lade-Reihenfolge und das Verhalten eines vorgesehenen Moduls ausgenutzt, um eine Downloader-Komponente in memory starten zu lassen. Auf dem Bildschirm wird gleichzeitig eine täuschende Jobbeschreibung angezeigt, sodass der Nutzer keinen unmittelbaren Verdacht schöpft.
Der Ablauf endet nicht nach dem ersten Schritt: Danach folgen nach Beschreibung von Check Point typischerweise Reconnaissance (Erkundung), Persistence (Beständigkeit) und schließlich die Ausnutzung der zuvor unbekannten Windows-Lücke in afd.sys. Anschließend wird eine bekannte Backdoor ForestTiger nachgeladen.
Infektionskette 2: Troy über trojanisierte PDF-Ansicht
Neben der ersten Spur gibt es laut Bericht eine zweite Infektionskette. Dabei wird ein trojanisiertes PDF-Viewer-Programm eingesetzt, das den Namen SecurityPDF trägt.
Die Idee ist simpel, aber effektiv: Sobald das PDF geöffnet wird, sucht der bösartige Viewer nach einem verborgenen Marker innerhalb der Datei. Wird dieser Marker gefunden, führt die Komponente die nächste Stufe direkt im Speicher aus.
Als Ergebnis wird die Backdoor/Implant-Komponente Troy eingesetzt. Troy unterstützt laut Check Point 17 Operator-Kommandos, darunter das Auflisten von Dateien, Download und Upload von Daten, das Exfiltrieren von Informationen, Shell-Zugriff, das Beenden von Prozessen sowie DLL-Injection.
Command-and-Control: Webbasierte Infrastruktur und RelayShell
Damit die Angreifer ihre Systeme steuern können, wird eine Command-and-Control-Struktur (C&C) eingesetzt. In den beobachteten Angriffen tauchen kompromittierte Roundcube-Webmail-Deployments und verschiedene CMS-Plattformen auf.
Mehrere dieser Systeme waren dem Bericht zufolge anfällig, unter anderem wegen einer Schwachstelle mit der Kennung CVE-2025-49113. Diese Remote-Code-Execution-Lücke wird bereits seit Juni 2025 ausgenutzt.
Ein weiterer Baustein ist RelayShell, eine zuvor nicht dokumentierte PHP-Webshell. Check Point beschreibt sie als weniger klassische Hintertür, sondern eher als Kommunikations-Relay: Befehle und Antworten werden über einfache Textdateien zwischen infizierten Endpunkten und dem Operator ausgetauscht. Dadurch kann die Steuerung flexibler und unauffälliger ablaufen.
Warum das für Security-Teams jetzt wichtig ist
Der Bericht betont vor allem die Kombination aus Faktoren: ein Zero-Day, der inzwischen gepatcht ist, dazu modulare Hintertüren und webbasierte Strukturen, die sich an legitimen Datenverkehr anlehnen sollen. Für Verteidigung, Luftfahrt und angrenzende Industrien bedeutet das: Der Angriff ist nicht nur ein „Einmal-Fehler“, sondern ein durchdachtes System aus mehreren Ebenen.
Check Point empfiehlt daher, dass Teams in diesen Bereichen insbesondere die folgenden Punkte priorisieren:
- Patch Tuesday vom August zeitnah vollständig einspielen
- Indicators of Compromise (Erkennungszeichen) prüfen und Abgleich durchführen
- unverlangte Kontaktaufnahme im Recruiting-Kontext mit derselben Sorgfalt behandeln wie unbekannte Download-Anfragen
Damit verschiebt sich der Fokus von reiner Technik hin zu auch prozessualen Schutzmaßnahmen: Wer Dateien im Bewerbungsumfeld ungeprüft übernimmt, liefert Angreifern oft genau die Lücke, die sie für die nächste Stufe benötigen.
Betroffene Branchen und Regionen
In der aktuellen Welle nennt Check Point Ziele in mehreren Ländern. Dazu gehören unter anderem Frankreich, Deutschland, Brasilien und Indien. Besonders im Fokus stehen Organisationen aus dem Verteidigungsumfeld sowie Unternehmen der Luft- und Raumfahrt.
Auch wenn nicht jede einzelne Organisation identisch betroffen ist, ist die technische Grundlage – der Einsatz der Windows-Lücke und die wiederverwendeten Angriffsbausteine – ein Muster, das man übertragen und entsprechend absichern sollte.
Fazit: Patchen, prüfen, Recruiting absichern
Der wichtigste Hebel gegen diese Angriffe ist klar: Windows-Zero-Day bedeutet nicht nur „gefährlich“, sondern vor allem „zeitkritisch“. Microsoft hat die Schwachstelle bereits im Rahmen von Patch Tuesday geschlossen; CISA hat sie zudem als relevant für aktiv ausgenutzte Lücken markiert.
Wer jetzt patcht, Indikatoren überprüft und zugleich Rekrutierungsanfragen restriktiver bewertet, senkt das Risiko erheblich. Angreifer setzen auf Vertrauen und erwartete Abläufe – und genau dort können Sicherheitsmaßnahmen am wirksamsten sein.
Quelle: https://www.securityweek.com/fresh-windows-zero-day-exploited-in-north-korean-cyberattacks/
