Die Lazarus-Gruppe, ein seit Jahren aktiver Akteur aus dem Umfeld nordkoreanischer Cyber-Operationen, soll in einer laufenden Kampagne einen neuen, gerade erst gepatchten Windows-Zero-Day SYSTEM-Zugriff eingesetzt haben. Ziel der Intrusionen sind laut aktuellen Beobachtungen vor allem Unternehmen aus sicherheitskritischen Bereichen – unter anderem aus Frankreich, Deutschland, Brasilien und Indien.
Besonders auffällig ist dabei nicht nur die technische Komponente, sondern auch die Social-Engineering-Schiene: Über vermeintliche Jobangebote und “Recruiter”-Nachrichten werden Fachkräfte dazu gebracht, gezielte Dateien zu öffnen oder manipulierte Programme zu installieren. So entsteht eine Angriffs-Kette, die in der Praxis schwer zu erkennen sein kann, weil sie an real wirkende Kommunikation anknüpft.
Operation Dream Job: Jobangebot als Einstieg
Die Aktivität wird mit Operation Dream Job in Verbindung gebracht. Dahinter steckt eine langlaufende Kampagne zur Cyber-Industriespionage, in der Angreifer soziale Manipulation und technische Ausnutzung kombinieren. Betroffene sollen über Plattformen wie LinkedIn kontaktiert werden – dabei geben sich Täter als Personalverantwortliche aus und locken mit scheinbar überzeugenden Stellenangeboten.
Der nächste Schritt erfolgt häufig über eine bösartige PDF-Komponente: Opfer werden dazu verleitet, eine Datei zu öffnen, die entweder direkt als PDF-Ablage genutzt wird oder in der Folge eine manipulierte PDF-Umgebung nachlädt. In den beobachteten Fällen führt das zum Aufschalten einer neuen Backdoor namens Troy, die nach der Kompromittierung Remote-Zugriff ermöglicht.
Der Zero-Day in Windows: CVE-2026-68820 (AFD.sys)
Kern der neuesten Welle ist die Ausnutzung der Schwachstelle CVE-2026-68820 mit einem CVSS-Score von 7.0. Es handelt sich um eine Privilege-Escalation-Lücke im Windows Ancillary Function Driver for WinSock, AFD.sys. Microsoft habe diese Lücke im Rahmen der Patch Tuesday-Aktualisierungen für August 2026 geschlossen.
In der Kampagne wird der Weg zu höher privilegierten Rechten über eine mehrstufige Kette beschrieben: Nach dem initialen Social-Engineering wird ein Downloader bzw. Loader installiert, der später gezielt die Treiber-Exploitation anstößt. Das Ergebnis ist der Sprung in einen Bereich, in dem sich Angriffe effektiver tarnen und weiter ausbauen lassen.
Zwei parallele Infektionswege: DLL-Side-Loading und getarnter PDF-Viewer
Für die aktuelle Phase wurden zwei parallele Abläufe identifiziert, die beide auf denselben Gesamtzweck hinarbeiten: Remote-Zugriff und die Fähigkeit, weitere Module nachzuladen und dauerhaft zu halten.
Weg 1: DLL-Side-Loading mit “libmupdf.dll” und MISTPEN
Beim ersten Ansatz werden Opfer angewiesen, ein verschlüsseltes Archiv herunterzuladen, das eine DLL-Side-Loading-Kette auslöst. Eine der verwendeten Komponenten ist eine bösartige DLL mit dem Namen libmupdf.dll. Sie soll unter anderem dafür sorgen, dass Opfer einen scheinbaren Jobtext angezeigt bekommen – während im Hintergrund ein weiterer Bestandteil nachgeladen wird.
Im nächsten Schritt lädt ein als MISTPEN beschriebener, leichter Downloader nach und führt ihn in den Speicher aus. Für die Kommunikation mit Angreifer-Infrastruktur wird dabei zudem auf die Microsoft Graph API und OneDrive zurückgegriffen, um Reconnaissance- und Persistenz-Module abzurufen und später auch die AFD.sys-Ausnutzung anzustoßen.
Nach dieser Phase wird laut den Beobachtungen ForestTiger (auch als ScoringMathTea bezeichnet) ausgerollt. Dieses Modul soll schließlich den Remote-Zugriff auf die kompromittierte Umgebung unterstützen.
Weg 2: Trojanisierter SecurityPDF-Viewer mit Marker-Logik
Der zweite Infektionsweg setzt auf einen trojanisierten PDF-Viewer namens SecurityPDF. Opfer sollen ihn über eine Website laden, die eine Marke imitiert – dabei wird unter anderem auch die Rolle von “Enveil” als vermeintlicher Anbieter erwähnt.
Nach der Installation überwacht die Anwendung laut Analyse offen, ob über den Viewer ein PDF-Dokument geöffnet wird, das einen bestimmten Marker enthält („This document is encrypted with sumatrapdf reader!!!!!!!!!!!!“). Wenn dieser Marker vorhanden ist, entschlüsselt die Anwendung ein eingebettetes Payload und lädt die Backdoor Troy direkt in den Speicher.
Der DLL-Implantat-Teil unterstützt außerdem mehrere Befehle zur Steuerung der Operation. Dazu gehören Funktionen für Dateiauflistung, Upload/Download, Archivierung und Exfiltration, interaktives Shell-Verhalten, das Beenden von Prozessen, das In-Memory-Injizieren von DLLs sowie das Aktualisieren von Konfigurationen.
MISTPEN-Module: Reconnaissance, Screenshot und kryptografischer Loader
Für MISTPEN werden mindestens vier unterschiedliche Module beschrieben, die jeweils einen klaren Zweck erfüllen:
- GetInfoPlugin (Release_GetInfoPlugin_x64.dll) sammelt Host-Informationen und exfiltriert sie als einzelnen Wide-Character-String.
- PvPlugin (Release_PvPlugin_x64.dll) dient der weiteren Reconnaissance, inklusive Prozessdetails.
- OneScreenCapture (OneScreenCapture64.dll) erstellt Screenshots des aktuellen Desktops inklusive aller Monitore und überträgt sie als JPEG.
- Ein LPE (Local Privilege Escalation) Loader sammelt Informationen, erzeugt neues Key-Material mit ML-KEM (post-quantum Key Encapsulation) und nutzt den ausgehandelten Schlüssel, um FudModule zu entschlüsseln und auszuführen.
Zusammen zeigen diese Module: Selbst nachdem die anfängliche Täuschung funktioniert hat, bleibt der Angriff sehr datengetrieben. Das erhöht die Qualität der späteren Kontrolle und erleichtert das zielgerichtete Vorgehen.
Tarnung auf SYSTEM-Ebene: Rootkit-Techniken und Smart App Control
Ein weiterer Schwerpunkt der Kampagne liegt auf Verbergung und Ausweichtaktiken. Der Angriffsablauf nutzt laut Bericht eine aktualisierte Version eines bereits bekannten Kernel-Mode-Rootkits, das seit mindestens 2022 wiederholt eingesetzt wurde, um Tools vor Sicherheitssoftware zu verstecken.
Praktisch bedeutet das: Durch die Ausnutzung der AFD.sys-Schwachstelle werden SYSTEM-Rechte erlangt. Anschließend wird eine weitere Instanz von MISTPEN in einen SYSTEM-Prozess injiziert, damit sie mit erhöhten Berechtigungen läuft und zugleich schwerer von Sicherheitslösungen erkannt wird.
Die neue Version wird als FudModule 3.1 bezeichnet. Sie soll unter anderem die Funktion Smart App Control beeinflussen, die Programme auf ihre Sicherheit prüft. In der Beschreibung wird außerdem konkret erwähnt, dass innerhalb eines SYSTEM-privilegierten Child-Prozesses (msiexec.exe) eine Richtlinien-Variante gesetzt wird und dadurch eine in-place Neuaufladung der Code-Integrity-Policy ausgelöst wird.
Legitime Infrastruktur als Kommandozentrale
Was die Kampagne zusätzlich gefährlich macht, ist der Umgang mit Infrastruktur. Statt ausschließlich eigene Server aufzubauen, sollen die Angreifer legitime, bereits kompromittierte Systeme missbraucht haben. Dazu gehören WordPress- und SharePoint-Seiten sowie verwundbare Roundcube-Webmail-Server als Teil der Kommando-und-Kontrollkette für ForestTiger.
Mehrere Roundcube-Server sollen mit CVE-2025-49113 verwundbar gewesen sein. Die Angreifer nutzten diese Lücke, um einen bisher nicht dokumentierten PHP-Webshell-Mechanismus namens RelayShell bereitzustellen. In mindestens einem Fall wurde zudem eine bereits kompromittierte Organisation in Frankreich eingesetzt, um Phishing-Nachrichten an neue Opfer zu schicken und reputationbasierte Filter zu umgehen.
Imitation von Anbietern: Fake-Websites für SecurityPDF
Für den SecurityPDF-Ansatz wurden zudem mehrere Websites gefunden, die Enveil imitieren und zur Verteilung des PDF-Viewers genutzt werden sollen. Als Beispiele werden Domains genannt, darunter:
- envell[.]xyz
- enveil[.]online
- uxtramine[.]org
Ob diese Portale direkt in die Social-Engineering-Kampagne eingebettet wurden, bleibt laut Einschätzung unklar. Vermutet wird jedoch ein Ablauf, bei dem Opfer zunächst eine PDF-Datei erhalten und anschließend angewiesen werden, die passende Viewer-Software von der vermeintlich “richtigen” Seite herunterzuladen, um den Dokumentinhalt zu sehen.
Warum “Phishing Link erkennen” allein nicht reicht
Die Beobachtungen deuten darauf hin, dass klassische Abwehrmechanismen an Grenzen stoßen können, wenn Angreifer nicht nur einen Link fälschen, sondern das Vertrauen selbst nachbauen. Wenn Jobnachrichten, Anbieterbranding und Downloadseiten wie real wirken, ist der Einstieg oft nicht mehr eindeutig als Phishing erkennbar.
Damit steigt der Stellenwert von konsequentem Patchen, Validierung über offizielle Kanäle und einem Zero-Trust-Ansatz, der auch scheinbar legitime Websites und Partner berücksichtigt. Ebenso wichtig ist, Software- und Downloadpfade nicht allein anhand von Suchergebnissen oder Markenauftritten zu bewerten.
Fazit: Schnelles Patchen und erhöhte Wachsamkeit bei Downloads
Der Einsatz des Windows-Zero-Day SYSTEM-Zugriff (CVE-2026-68820) zeigt, wie stark technische Lücken mit Social Engineering zusammenwirken können. In der Lazarus-Kampagne dient der eigentliche Zero-Day als Verstärker: Erst wenn anfängliche Täuschung gelingt und ein Loader bzw. Viewer installiert wird, kann die Privilegieneskalation gezielt anschließen.
Wer sich schützen will, sollte daher konsequent auf die aktuellen Microsoft-Updates achten, Downloads aus vermeintlich vertrauten Quellen kritisch prüfen und Regeln für das Öffnen von PDF-Dateien sowie für die Installation von Viewer-Tools strikt durchsetzen.
Quelle: https://thehackernews.com/2026/08/lazarus-exploits-windows-zero-day-to.html
