Lazarus colpisce il kernel Windows: zero-day CVSS 7.0 con…

Il gruppo nordcoreano Lazarus ha sfruttato CVE-2026-68820, una zero-day nel driver AFD.sys di Windows, per ottenere privilegi SYSTEM e distribuire il backdoor Troy

Il gruppo nordcoreano Lazarus ha sfruttato attivamente per oltre cinque settimane una zero-day nel driver kernel AFD.sys di Windows — CVE-2026-68820, con punteggio CVSS 7.0 classificato "Important" — per scalare i privilegi a SYSTEM e installare il backdoor Troy, documentato per la prima volta in questa campagna, unitamente al rootkit FudModule 3.1. La convergenza di fonti indipendenti — Check Point Research (scoperta originale), Microsoft (vendor), NVD e CISA (governo federale) — conferma la gravità operativa di una vulnerabilità che il punteggio tecnico da solo non cattura. Check Point ha segnalato la falla a Microsoft il 28 luglio 2026; la patch è arrivata l'11 agosto 2026, lo stesso giorno dell'inserimento nel catalogo KEV di CISA con scadenza federale al 25 agosto.

Punti chiave

CVE-2026-68820 è una race condition use-after-free nel driver Windows AFD.sys che consente l'escalation di privilegi a SYSTEM senza interazione da parte dell'utente, secondo Microsoft MSRC.
Lazarus ha sfruttato la vulnerabilità almeno dall'inizio di giugno 2026, con un artefatto FudModule datato 7 luglio, cinque settimane prima della patch.
La campagna ha colpito Francia, Germania, Brasile e India con due catene di infezione parallele: DLL sideloading con MISTPEN downloader e un viewer PDF trojanizzato, SecurityPDF, che distribuisce il backdoor Troy.
Il CVSS 7.0 classifica la falla come "Important", non "Critical": gli esperti avvertono che i programmi di vulnerability management basati solo sul punteggio rischiano di deprioritizzare un bug già sfruttato da un APT.

Il meccanismo: una race condition nel cuore dello stack di rete Windows

La vulnerabilità risiede in AFD.sys, l'Ancillary Function Driver for WinSock che gestisce ogni operazione socket su ogni macchina Windows. Il record ufficiale NVD per CVE-2026-68820 descrive una use-after-free con vettore CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H. L'advisory Microsoft MSRC conferma: "An attacker who successfully exploited this vulnerability could gain SYSTEM privileges" e aggiunge: "User interaction is not required".

La complessità d'attacco è alta (AC:H) perché, come precisa Microsoft, "successful exploitation of this vulnerability requires an attacker to win a race condition". La natura locale del bug spiega il punteggio contenuto. Lazarus non ha bisogno di RCE remoto quando già controlla un endpoint compromesso tramite social engineering.

Nota sui limiti noti: Check Point precisa che il vettore di contatto iniziale non è confermato per tutte le vittime. Il metodo esatto usato per avvicinare i bersagli nella campagna corrente resta non chiaro.

Due catene d'attacco, un unico obiettivo: la persistenza SYSTEM

Check Point Research ha ricostruito due percorsi paralleli. La prima catena inizia con un viewer PDF trojanizzato, SecurityPDF: almeno tre siti web che impersonavano la società Enveil — alcuni posizionati tra i primi risultati di ricerca per manipolazione SEO — distribuivano il software. Il viewer verifica la presenza del marker "This document is encrypted with sumatrapdf reader!!!!!!!!!!!!" e decripta il payload con chiave XOR a byte singolo 0x39. Da qui si innesca l'installazione del backdoor Troy.

La seconda catena, rilevata a luglio 2026, parte da messaggi di reclutamento falso che impersonano Lockheed Martin e Enveil. L'obiettivo viene indotto a scaricare un presunto software PDF che carica via DLL sideloading libmupdf.dll. Questo avvia il downloader MISTPEN, che comunica con il server di comando e controllo attraverso Microsoft Graph API e OneDrive, mimetizzandosi nel traffico aziendale legittimo.

MISTPEN carica quattro moduli: GetInfoPlugin, PvPlugin, OneScreenCapture e un LPE loader che utilizza ML-KEM per l'incapsulazione della chiave post-quantum. A questo punto CVE-2026-68820 scatta l'escalation a SYSTEM, seguita dall'installazione di FudModule 3.1 e del backdoor ForestTiger.

Troy, il backdoor documentato per la prima volta in questa campagna, supporta 17 comandi distinti: enumerazione file, upload/download, archiviazione ed esfiltrazione, shell interattiva, terminazione processi, iniezione DLL in memoria e aggiornamento della configurazione. Il dossier non specifica se Troy e ForestTiger operino in alternativa o in congiunzione sui medesimi target.

FudModule 3.1: l'evoluzione della blindatura in kernel mode

La terza generazione del rootkit FudModule rappresenta un salto rispetto alle versioni precedenti osservate dal 2022. Il modulo disabilita 94 provider ETW (Event Tracing for Windows), minifilter driver, callback su oggetti e registro.

La novità più significativa è il tampering di Windows Smart App Control: come documentato da Check Point, "its remote stub sets VerifiedAndReputablePolicyState to zero and invokes NtSetSystemInformation class 0xA4 with option 0x10000000, triggering an in-place reload of the code integrity policy". Il rootkit forza il sistema a ricaricare la policy di integrità del codice con una condizione di reputazione azzerata.

L'infrastruttura di comando e controllo si appoggia su server WordPress, SharePoint e Roundcube compromessi. I server Roundcube sono stati violati sfruttando CVE-2025-49113, una vulnerabilità di deserializzazione PHP con CVSS 9.9, per installare la web shell RelayShell. Check Point ha osservato almeno 17 identificatori server unici per RelayShell; gli operatori si connettono attraverso servizi VPN commerciali. Almeno un'organizzazione con sede in Francia, già compromessa, è stata utilizzata per inviare ulteriori spear-phishing ad altre vittime.

La trappola del CVSS 7.0: quando il punteggio nasconde il rischio

«Questa CVE porta un CVSS 7.0, classificata Important. Nello stesso Patch Tuesday di agosto ci sono 42 patch Critical. Se il programma di vulnerability management triage per severity score, questa finirà in mezzo alla coda dietro bug RCE che nessuno ha ancora sfruttato. È esattamente il contrario di quello che serve.»
— Denis Calderone, CTO di Suzu Labs

Il parere di Calderone, riportato da SC World, evidenzia un problema strutturale: il CVSS misura la severità tecnica, non la minaccia attuale. Un bug con AC:H e PR:L, che richiede vittoria di race condition e accesso locale, merita 7.0. Ma quando quello stesso bug è già in uso da Lazarus — gruppo con track record di almeno tre altre zero-day Windows driver dal 2022 per FudModule — il punteggio diventa un'ancora di salvataggio per gli attaccanti.

Come nota Calderone, la strategia precedente di Lazarus era bring-your-own-vulnerable-driver: caricare un driver firmato ma difettoso di terze parti, sfruttarlo, ottenere privilegi kernel. I difensori hanno risposto con allowlisting. Lazarus ha adattato trovando bug nei driver che Windows spedisce di default. AFD.sys gestisce ogni operazione socket su ogni macchina Windows. Non è blocklistabile.

Cosa fare adesso

I consigli seguenti sono inferiti dalle raccomandazioni degli esperti citati, non direttivi del brief originale. Le organizzazioni dovrebbero:

Applicare immediatamente la patch del 11 agosto 2026 per CVE-2026-68820, indipendentemente dal punteggio CVSS, data la conferma di sfruttamento attivo da APT documentato.
Rivisualizzare le procedure di verifica del software: verificare i download attraverso canali ufficiali anziché ranking di ricerca, come raccomandato da Shykevich di Check Point.
Revisionare i criteri di triage: integrare la provenienza del threat actor e lo stato KEV/CISA nelle priorità di patching, non affidarsi solo alla severità CVSS.
Estendere il zero-trust anche ai siti legittimi in apparenza: la campagna ha dimostrato che trust, branding e posizionamento SEO possono essere contraffatti.
Monitorare il traffico verso Microsoft Graph API e OneDrive per anomalie nel comportamento di MISTPEN, che sfrutta infrastrutture legittime per C2.

Check Point ha rilasciato indicatori di compromissione, regole YARA e dettagli tecnici completi nel report originale. Le informazioni sono state verificate sulle fonti citate — Check Point Research, Microsoft MSRC, NIST NVD, CISA KEV — e aggiornate al momento della pubblicazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti