L’acteur nord-coréen Lazarus a été attribué à l’exploitation d’une faille Windows récemment corrigée afin d’obtenir des privilèges élevés et d’installer une porte dérobée. D’après les observations partagées par Check Point Research, la campagne s’inscrit dans Operation Dream Job, un dispositif de cyberespionnage mêlant ingénierie sociale et distribution de charges malveillantes via des documents piégés.
Le point central est l’abus d’une vulnérabilité de privilèges affectant le pilote AFD.sys (Windows Ancillary Function Driver for WinSock). Cette exploitation permet ensuite de prendre davantage la main sur la machine compromise et de contourner des protections.
Une campagne d’ingénierie sociale visant des profils “recrutement”
Dans Dream Job, les victimes sont attirées par de faux messages de recruteurs. Le fil conducteur reste le même : instaurer rapidement la confiance en proposant des opportunités professionnelles crédibles, puis amener la cible à ouvrir un fichier malveillant ou à installer un logiciel piégé.
Selon Check Point, la campagne vise des professionnels dans des secteurs critiques, notamment la défense et l’aérospatiale, avec des cibles identifiées en France, Allemagne, Brésil et Inde. Les messages s’appuient sur des formulations convaincantes, et sur l’idée qu’un document présenté comme lié à une offre d’emploi doit être consulté sans méfiance excessive.
La faille Windows corrigée : levier vers SYSTEM
La nouvelle attaque exploite CVE-2026-68820, une faille de escalade de privilèges notée à CVSS 7.0. Elle concerne spécifiquement le pilote AFD.sys et a été corrigée par Microsoft dans les mises à jour de Patch Tuesday d’août 2026.
Une fois la chaîne d’infection lancée, l’objectif est clair : obtenir des privilèges SYSTEM. Ce niveau d’accès renforce la capacité de l’attaquant à persister, à masquer ses outils et à exécuter des composants supplémentaires, notamment en contournant davantage les contrôles de sécurité présents sur l’hôte.
Deux scénarios d’infection observés en parallèle
Les chercheurs indiquent que deux séquences d’infection sont utilisées, en parallèle, pour atteindre les mêmes finalités. Les deux reposent sur une approche commune : faire passer l’élément “document” (ou son visualiseur) pour légitime, puis déclencher le chargement de charges en arrière-plan.
1) Démarrage par DLL side-loading et chaîne chiffrée
Dans le premier scénario, les victimes se voient demander de télécharger une archive chiffrée, destinée à déclencher une opération de DLL side-loading. Un composant malveillant, libmupdf.dll, sert à afficher une description d’emploi factice tout en préparant un chargement discret.
Ensuite, la chaîne déploie un téléchargeur léger appelé MISTPEN. Ce module communique avec des infrastructures contrôlées par l’attaquant en s’appuyant sur des APIs Microsoft, notamment Microsoft Graph et OneDrive, pour récupérer et exécuter des modules additionnels.
À ce stade, la chaîne vise à déclencher l’exploitation du pilote AFD.sys, puis à installer ForestTiger (aussi identifié comme ScoringMathTea), qui permet l’accès à distance à la machine compromise.
2) Visualiseur PDF “SecurityPDF” trojanisé
Le second scénario passe par un visualiseur PDF modifié, présenté sous le nom SecurityPDF. Le téléchargement est proposé depuis un site qui se fait passer pour un fournisseur lié à Enveil (marque utilisée comme leurre).
Une fois le visualiseur installé, il surveille les PDF ouverts via l’application. Lorsqu’un document contient un marqueur textuel précis, l’application déchiffre puis lance une charge embarquée. Cette charge injecte ensuite une porte dérobée nommée Troy directement en mémoire.
La présence du trojanisation ne s’arrête pas au chargement initial : l’implant DLL associée supporte 17 commandes opérateur pour des actions comme l’énumération de fichiers, l’envoi et la récupération de données, la création/archivage et l’exfiltration, l’accès à un shell interactif, la terminaison de processus, des injections en mémoire, ainsi que la mise à jour de configuration.
Modules supplémentaires : reconnaissance et capture
Au-delà de Troy et des composants de contrôle, MISTPEN charge plusieurs modules dont certains sont orientés vers la collecte d’information.
Par exemple :
- GetInfoPlugin (Release_GetInfoPlugin_x64.dll) : collecte d’informations sur la machine, puis exfiltration regroupée sous forme d’une chaîne en caractères “wide”.
- PvPlugin (Release_PvPlugin_x64.dll) : collecte de données de reconnaissance, incluant des informations sur les processus en cours.
- OneScreenCapture (OneScreenCapture64.dll) : capture d’écran du bureau, avec prise en compte de plusieurs moniteurs, puis transmission des images au format JPEG.
Le dispositif inclut aussi un chargeur d’escalade locale (LPE) qui rassemble des informations, génère de nouveaux matériaux de clé en s’appuyant sur l’algorithme ML-KEM (key encapsulation post-quantique), puis utilise la clé négociée pour déchiffrer et exécuter un module additionnel.
Masquage et contournement : l’escalade sert aussi à “se cacher”
Les chercheurs décrivent une version mise à jour d’un rootkit déjà observé dans des opérations antérieures menées par Lazarus. Le but est de dissimuler les outils malveillants présents sur l’hôte, notamment face aux logiciels de sécurité.
Après l’exploitation locale du pilote AFD.sys et l’obtention de privilèges SYSTEM, l’attaquant injecte une instance de MISTPEN dans un processus exécuté avec des droits élevés afin de le faire tourner hors de la portée de certains mécanismes de contrôle.
Une partie importante de la chaîne est associée à FudModule 3.1, présenté comme une amélioration d’une version précédente. Les observateurs notent qu’il vise à altérer la manière dont Windows évalue certains programmes via Smart App Control, un mécanisme conçu pour vérifier si un logiciel est sûr à exécuter.
Dans un contexte de processus enfant msiexec.exe exécuté avec des droits SYSTEM, la logique distante modifie notamment l’état d’une politique et déclenche un rechargement en place de la politique d’intégrité du code. Cette séquence renforce la capacité d’exécution des composants malveillants.
Infrastructure de commande : des sites compromis pour brouiller les pistes
Un autre élément marquant réside dans le choix des lieux de contrôle. Plutôt que d’installer des infrastructures entièrement nouvelles, les attaquants réutilisent des ressources légitimes mais compromises, notamment des sites WordPress et SharePoint, ainsi que des serveurs web Roundcube vulnérables.
Ces plateformes servent de serveurs command-and-control (C2), rendant la détection plus difficile : le trafic peut alors ressembler à du trafic “normal” d’un service déjà en production.
Dans le cas de Roundcube, certains serveurs auraient présenté la vulnérabilité CVE-2025-49113. L’exploitation permettrait alors l’installation d’une web shell PHP appelée RelayShell, qui échange des commandes et des réponses sous forme de fichiers texte.
Enfin, les chercheurs indiquent qu’au moins un cas impliquait une organisation déjà compromise en France, utilisée pour envoyer de nouveaux messages de phishing et contourner des filtres basés sur la réputation.
Pourquoi cette opération est difficile à contrer
Ce qui rend l’opération particulièrement préoccupante, selon les analystes, ce n’est pas uniquement l’existence d’une faille zero-day exploitable avant correction. L’attaque combine aussi une mise en scène de confiance : pages, téléchargements et branding de fournisseur paraissent cohérents, et s’appuient sur des infrastructures réutilisées qui semblent appartenir à l’écosystème “habituel”.
Dans ce contexte, l’idée selon laquelle il suffirait de repérer un lien de phishing devient moins fiable. La sécurité doit donc s’appuyer sur des réflexes plus solides : mettre à jour sans délai dès que les correctifs sortent, vérifier les logiciels via des canaux officiels plutôt que via des classements ou résultats de recherche, et étendre une logique de zero trust même aux partenaires et sites qui semblent légitimes.
Conclusion
En reliant Lazarus exploite une faille Windows (CVE-2026-68820) à une chaîne d’infection centrée sur des leurres PDF et une porte dérobée comme Troy, les observations de Check Point montrent comment l’ingénierie sociale et l’exploitation technique s’assemblent. Avec des scénarios d’infection parallèles, une collecte d’informations incluant captures et reconnaissance, et un usage d’infrastructures compromises pour le contrôle à distance, la campagne Dream Job illustre une tactique de cyberespionnage particulièrement opérationnelle.
Source: https://thehackernews.com/2026/08/lazarus-exploits-windows-zero-day-to.html
