Une nouvelle attaque zéro-day Windows a récemment été observée dans le cadre de campagnes attribuées à des acteurs nord-coréens. Selon Check Point, les intrusions visent notamment des organisations du secteur de la défense, ainsi que des acteurs de l’aérospatial et de l’aviation, via des messages qui ressemblent à des démarches de recrutement.
Point clé : la vulnérabilité ciblée a été corrigée par Microsoft lors de ses mises à jour du Patch Tuesday du 11 août. Malgré cela, l’usage de la faille avant correction a permis aux attaquants d’étendre l’infection, de gagner des privilèges élevés et de déployer des composants malveillants.
Une campagne de recrutement factice, mais très structurée
Les opérations décrites s’inscrivent dans la continuité d’une campagne baptisée Operation Dream Job, connue pour s’en prendre aux chercheurs d’emploi. D’après Check Point, les variantes d’attaque liées à ce thème sont mises en place régulièrement.
Les victimes potentielles sont approchées en se faisant passer pour des recruteurs. Les contacts sont réalisés via des plateformes professionnelles ou des applications de messagerie directes. L’objectif est de pousser la cible à télécharger une charge utile malveillante présentée comme un document lié à l’offre d’emploi.
Chaîne d’infection : PDF leurre, DLL malveillante et exécution en mémoire
Dans un premier scénario d’infection, les attaquants fournissent une archive contenant plusieurs éléments : un visualiseur PDF (piégé), une DLL malveillante et une charge utile chiffrée présentée comme un fichier PDF.
Ensuite, la compromission progresse grâce à une technique de type DLL sideloading (chargement de DLL depuis un chemin contrôlé), utilisée pour exécuter un téléchargeur de malware en mémoire. Pendant ce temps, un texte de description de poste est affiché à l’écran afin de réduire la suspicion.
Cette étape se poursuit avec des phases classiques d’intrusion : reconnaissance, persistance puis exploitation d’une vulnérabilité jusqu’alors inconnue dans Windows.
La vulnérabilité afd.sys : exploitation pour obtenir des privilèges système
Le cœur de l’incident concerne une faiblesse affectant le pilote de fonction auxiliaire de WinSock, afd.sys. Cette attaque zéro-day Windows a été suivie sous l’identifiant CVE-2026-68820 et correspond à un problème de type use-after-free.
Concrètement, la faille permet aux attaquants de provoquer une condition de course afin d’accéder à des privilèges de niveau Système. C’est un levier majeur : une fois obtenus, les attaquants disposent d’un contrôle plus large et peuvent poursuivre l’installation de composants supplémentaires.
Correctif de Microsoft et ajout à la liste KEV de la CISA
D’après les informations rapportées, Microsoft a corrigé la vulnérabilité le 11 août via ses mises à jour Patch Tuesday. Par la suite, la CISA (agence américaine de cybersécurité) a inscrit cette vulnérabilité dans son catalogue Known Exploited Vulnerabilities (KEV).
En pratique, cela signifie que les organismes fédéraux américains sont encouragés à appliquer le correctif dans un délai court, indiqué comme étant de deux semaines. Même si votre contexte n’est pas strictement fédéral, l’inscription KEV sert de signal fort sur le risque exploité.
Déploiement : ForestTiger puis une seconde chaîne via SecurityPDF
Après la phase d’escalade, Check Point indique que les attaquants déploient ForestTiger, un backdoor déjà connu associé à Lazarus.
Une deuxième chaîne d’infection est également mentionnée. Cette fois, la victime reçoit un visualiseur de PDF tronqué baptisé SecurityPDF. Le composant cherche la présence d’un marqueur caché dans tout fichier PDF ouvert sur la machine, afin d’exécuter ensuite directement en mémoire la charge responsable.
Dans cette logique, l’objectif est d’installer un implant nommé Troy. Troy agit comme une DLL et prend en charge 17 commandes opérateur, incluant des actions telles que l’énumération de fichiers, le téléchargement et l’envoi de données, l’exfiltration, l’accès au shell, l’arrêt de processus et l’injection de DLL.
Infrastructure de commande : relais via sites web compromis
Les éléments d’infrastructure de command and control observés dans ces attaques ne se limitent pas à une simple passerelle dédiée. Check Point cite notamment des déploiements web de type Roundcube ainsi que des plateformes de gestion de contenu, qui seraient vulnérables à une faiblesse de type RCE identifiée comme CVE-2025-49113.
Une partie de la communication passerait par RelayShell, décrit comme un webshell PHP jusqu’alors non documenté. Plutôt que d’agir comme une porte dérobée “classique”, il fonctionnerait comme un relais entre les équipements compromis et l’opérateur, en échangeant des commandes et réponses via de simples fichiers texte.
Qui est ciblé et où ? Des secteurs sensibles en Europe et au-delà
Selon Check Point, la campagne récente vise notamment des organisations de défense, d’aérospatial et d’aviation en plusieurs pays, avec des mentions pour la France et l’Allemagne, mais aussi le Brésil et l’Inde.
La campagne serait active depuis le début de 2026. Les attaques s’appuieraient sur la combinaison de trois éléments : une faille désormais corrigée, un backdoor modulaire et des infrastructures web pensées pour ressembler à du trafic légitime.
Que doivent faire les équipes de sécurité ? Priorités concrètes
Check Point recommande d’abord de donner la priorité à la mise à jour Patch Tuesday d’août afin de réduire la fenêtre d’exposition liée à la faille corrigée. Ensuite, les équipes doivent examiner les indicateurs de compromission (IOC) disponibles et vérifier la présence d’activité anormale.
Enfin, un point souvent sous-estimé : contrôler la confiance accordée aux sollicitations non sollicitées de type recrutement. L’idée est de traiter chaque demande de téléchargement ou de fichier comme un risque potentiel tant qu’elle n’est pas vérifiée.
Conseils pratiques à appliquer dès maintenant
- Mettre à jour les systèmes Windows avec le correctif lié à CVE-2026-68820.
- Surveiller les comportements liés à l’exécution de charge en mémoire et aux enchaînements d’infection impliquant des visualiseurs PDF piégés.
- Vérifier les accès et tentatives de contact provenant de canaux de recrutement “improvisés”.
- Contrôler l’infrastructure web exposée (par ex. services de type webmail et CMS) et sa surface d’attaque.
Conclusion
Cette affaire illustre comment une attaque zéro-day Windows peut s’inscrire dans une campagne plus large : usurpation de démarche RH, distribution de fichiers piégés, escalade de privilèges via une vulnérabilité du pilote afd.sys, puis déploiement de mécanismes backdoor et de communications orientées vers l’infrastructure web.
Le bon côté de l’histoire, c’est qu’un correctif existe et que la CISA a renforcé l’urgence en ajoutant la vulnérabilité à son catalogue KEV. Pour les organisations concernées, le réflexe essentiel reste le même : patcher vite, vérifier les IOC et durcir le contrôle des téléchargements non sollicités.
Source: https://www.securityweek.com/fresh-windows-zero-day-exploited-in-north-korean-cyberattacks/
