De Noord-Koreaanse dreigingsacteur Lazarus wordt opnieuw gekoppeld aan het misbruiken van een Windows zero-day SYSTEM. Volgens Check Point Research draait de recente campagne om het verkrijgen van volledige controle over Windows-systemen en het installeren van een achterdeur. Daarbij combineren aanvallers een nieuw gepatchte kwetsbaarheid met een bekende strategie: social engineering via overtuigende ‘droombaan’-berichten.
Het geheel maakt gebruik van nep-rollen, vertrouwenwekkende branding en misleidende downloads. Daardoor is het voor slachtoffers lastiger om alleen op de “herkenbare” phishing-signalen af te gaan. Hieronder lees je hoe de keten volgens de onderzoekers werkt en welke maatregelen je prioriteit moet geven.
Windows zero-day SYSTEM: CVE-2026-68820
De basis van de aanval is een privilege-escalation fout in Windows: CVE-2026-68820, met een CVSS-score van 7.0. Het gaat om een kwetsbaarheid in de Windows Ancillary Function Driver voor WinSock (AFD.sys). Microsoft heeft deze fout gepatcht in updates van Patch Tuesday augustus 2026.
Check Point beschrijft dat de aanvallers daarmee systeemrechten kunnen verkrijgen. Vervolgens wordt een backdoor ingezet om remote toegang mogelijk te maken. Het is precies die stap—van toegang naar volledige controle—die de campagne zo gevaarlijk maakt.
Op onze site bespraken we eerder ook dat zero-days in kernel-achtige componenten vaak extra impact hebben. Zie bijvoorbeeld Windows zero-day: Lazarus grijpt SYSTEM via afd.sys.
Operation Dream Job: lokken via ‘droomvacatures’
De Lazarus-activiteit maakt onderdeel uit van Operation Dream Job, een langer lopende cyberespionagecampagne. Het doel is professionals te benaderen met geloofwaardige, maar neppe jobaanbiedingen. In de berichtgeving doen aanvallers zich voor als recruiter en proberen ze vertrouwen op te bouwen via platforms zoals LinkedIn.
De campagne richt zich op meerdere regio’s, met slachtoffers die volgens de rapportage onder meer te vinden zouden zijn in Frankrijk, Duitsland, Brazilië en India. Check Point noemt daarnaast organisaties in defensie- en ruimtevaartachtige sectoren als doelwit.
Waar de instap vroeger vaak “opvallende” phishinglinkjes had, stelt de recente variant het vertrouwen centraal: als recruiter én website lijken kloppend, wordt het voor gebruikers lastiger om de keten te doorbreken.
Infection chain 1: DLL side-loading met MISTPEN
De onderzoekers zagen twee parallelle sporen. In het eerste spoor wordt het slachtoffer verleid om een geëncrypteerd archief te downloaden dat een DLL side-loading-keten moet triggeren.
De aanval bevat hierbij een kwaadaardige DLL libmupdf.dll. Die DLL toont volgens de analyse een neppe functiebeschrijving als onderdeel van het lokmiddel. Tegelijkertijd downloadt en voert het proces een lichtgewicht downloader uit: MISTPEN.
Daarna gebruikt MISTPEN communicatie met infrastructuur die onder controle staat van de aanvallers. Daarbij wordt gebruikgemaakt van Microsoft Graph API en OneDrive om modules op te halen en uit te voeren. In die fase wordt ook de AFD.sys-exploit getriggerd om privileges op te schalen, waarna ForestTiger (ook bekend als ScoringMathTea) wordt ingezet voor remote toegang.
Infection chain 2: trojanized SecurityPDF
Het tweede spoor draait om een gemanipuleerde PDF-viewer met de naam SecurityPDF. Slachtoffers krijgen instructies om SecurityPDF te downloaden van een website die zich voordoet als die van een legitieme partij (in het rapport wordt Enveil genoemd).
Na installatie gaat de viewer actief controleren of er een PDF wordt geopend met een specifieke markerstring: “This document is encrypted with sumatrapdf reader!!!!!!!!!!!!”. Als die markering aanwezig is, wordt een ingesloten payload gedecrypt en direct gestart.
Die payload laadt een backdoor genaamd Troy rechtstreeks in het geheugen. De DLL-implant ondersteunt daarbij 17 operator-commando’s, waaronder opties voor bestandsopsomming, upload/download, archiveren en exfiltratie, interactieve shell-toegang, procesbeëindiging en geheugen-injecties, plus configuratiewijzigingen.
MISTPEN-modules en de route naar reconnaissance en persistence
Volgens Check Point laadt MISTPEN ten minste vier verschillende modules. Een deel daarvan focust op het verzamelen van informatie over het systeem. Concreet worden genoemd:
- GetInfoPlugin (Release_GetInfoPlugin_x64.dll) voor profiling en exfiltratie van verzamelde data als één wide-character string.
- PvPlugin (Release_PvPlugin_x64.dll) voor reconnaissance, inclusief details over actieve processen.
- OneScreenCapture (OneScreenCapture64.dll) voor het maken van screenshots van het volledige bureaublad, inclusief meerdere monitoren, als JPEG-afbeeldingen.
- Een LPE (local privilege escalation) loader die informatie verzamelt, nieuw sleutelmateriaal opwekt met een ML-KEM post-quantum key encapsulation algoritme en daarna de handshake-key gebruikt om een payload (FudModule) te ontsleutelen en uit te voeren.
De onderzoekers benadrukken dat de keten niet alleen gericht is op toegang, maar ook op het uitbreiden van mogelijkheden richting bewaking, controle en volgehouden aanwezigheid.
Kernel-mode rootkit en het omzeilen van controles
Een belangrijk onderdeel is de manier waarop de malware sporen probeert te verbergen. De aanval maakt volgens het rapport gebruik van een bijgewerkte variant van een bekende kernel-mode rootkit die Lazarus al inzet sinds minstens 2022.
Na het behalen van SYSTEM-rechten injecteert de aanvaller bovendien een extra instance van MISTPEN in een SYSTEM-proces. Dat moet ervoor zorgen dat de tool met verhoogde rechten draait en minder zichtbaar is voor beveiligingssoftware.
De nieuwere variant van de LPE-gerelateerde component heet FudModule 3.1. Deze zou verbeteringen hebben ten opzichte van een eerdere versie, waaronder het aanpassen van Smart App Control—een Windows-voorziening die nagaat of programma’s veilig zijn om te draaien.
Check Point beschrijft dat in een child-proces van msiexec.exe op systeemniveau remote stubs waarden instellen en daarna een aanroep doen waarmee de code integrity policy in-place wordt herladen. Dat sluit aan op de bredere indruk dat de campagne niet alleen data steelt, maar ook de verdedigingskant manipuleert.
Misbruik van legitieme infrastructuur: WordPress, SharePoint en Roundcube
Wat de campagne volgens Check Point extra gevaarlijk maakt, is het gebruik van vertrouwde infrastructuur. In plaats van alles zelf op te zetten, zouden aanvallers compromis hebben benut in WordPress– en SharePoint-omgevingen, plus kwetsbare Roundcube webmailservers als command-and-control (C2).
Dat betekent dat kwaadaardige communicatie kan lijken op normaal webverkeer, zeker wanneer de domeinen zelf of delen ervan al “echt” bestaan en een reputatie hebben. Daardoor wordt detectie op basis van alleen domein- of IP-reputatie minder betrouwbaar.
Roundcube-servers die zijn aangetroffen, bleken volgens het rapport kwetsbaar voor CVE-2025-49113. Via die fout wordt een PHP webshell geplaatst met de codenaam RelayShell. De webshell wisselt commando’s en antwoorden uit in de vorm van tekstbestanden.
In minstens één geval is een organisatie in Frankrijk die al was gecompromitteerd gebruikt om phishingberichten naar nieuwe slachtoffers te versturen. Daarmee proberen aanvallers reputatiefilters te omzeilen.
Valse downloadwebsites voor SecurityPDF
Voor het SecurityPDF-spoor zijn ten minste drie websites genoemd die zich voordoen als Enveil-domeinen. Het rapport noemt de volgende domeinen:
- envell[.]xyz
- enveil[.]online
- uxtramine[.]org
Check Point geeft aan dat nog onduidelijk is hoe die portals precies in de social engineering-campagne zijn ingebouwd, maar het scenario lijkt te starten met een phishing-PDF en vervolgens het doorsturen van slachtoffers naar een downloadpagina om de trojanized viewer te installeren.
Wat je nu kunt doen: van patchen tot verificatie
De kernboodschap van de onderzoekers is eenvoudig: patch zodra updates beschikbaar zijn. De Windows zero-day SYSTEM-kwetsbaarheid CVE-2026-68820 is in augustus 2026 gepatcht, dus systemen die nog niet zijn bijgewerkt, vormen een direct risico.
Daarnaast zijn er maatregelen die verder gaan dan alleen “de juiste patch draaien”. Denk aan:
- Verificatie via officiële kanalen: download software niet via zoekresultaten of ogenschijnlijk bekende pagina’s, maar alleen via betrouwbare en gecontroleerde routes.
- Beperk executie van ongeautoriseerde downloads: hanteer beleid voor het uitvoeren van bestanden en het gebruik van PDF-viewers die niet standaard zijn.
- Let op gedrag i.p.v. alleen op links: controleer of processes ongebruikelijke downloads of in-memory activiteiten starten na het openen van een document.
- Zero-trust denken op partners en websites: behandel webcontent en gekoppelde diensten als potentiële aanvallen, ook als ze “legitiem” ogen.
Als aanvulling op dit soort aanpak is het interessant om eerder gepubliceerde inzichten over misleidende downloads en escalatie te bekijken, zoals ShieldBreak: Microsoft Defender patch-bypass met SYSTEM. Hoewel het om een andere techniek gaat, komt het principe terug: aanvallers richten zich op het omzeilen van beveiligingsmechanismen zodra ze privileges hebben.
Conclusie
De Lazarus Group laat met deze nieuwste campagne zien dat een Windows zero-day SYSTEM meer is dan alleen een kwetsbaarheid: het is de sleutel tot volledige controle. Door privilege-escalatie via CVE-2026-68820 te combineren met social engineering (Operation Dream Job) en misbruik van vertrouwde infrastructuur, wordt de aanval lastig te herkennen op basis van simpele “phishing”-signalen.
De meest effectieve stap blijft: zorg dat Patch Tuesday augustus 2026 op alle relevante systemen is toegepast. Daarna helpt een strikt verificatieproces voor softwaredownloads en extra aandacht voor verdachte gedragspatronen om dit soort ketens sneller te stoppen.
Bron: https://thehackernews.com/2026/08/lazarus-exploits-windows-zero-day-to.html
