Il gruppo Lazarus ha sfruttato la zero-day CVE-2026-68820 per ottenere privilegi SYSTEM su Windows 11, distribuendo il nuovo backdoor Troy e il rootkit FudModule 3.1 contro aziende del settore difesa e aerospaziale in Francia, Germania, Brasile e India. L'exploitation attivo è iniziata all'inizio di giugno 2026, circa due mesi prima che Microsoft rilasciasse la patch nell'aggiornamento del Patch Tuesday dell'11 agosto. Check Point Research, che ha scoperto e segnalato la vulnerabilità a Microsoft alla fine di luglio, documenta una catena di attacco che fonde social engineering, infrastrutture legittime compromesse e driver Windows built-in non blocklistabili.
- CVE-2026-68820 è una use-after-free in AFD.sys con CVSS 7.0: escalation locale a SYSTEM tramite race condition, non RCE
- Microsoft ha patchato l'11 agosto 2026; CISA ha inserito il CVE nel catalogo KEV con scadenza patch per le agenzie federali fissata al 25 agosto 2026
- Troy è un nuovo backdoor in-memory che supporta 17 comandi per esfiltrazione, shell interattiva e injection DLL
- FudModule 3.1 disabilita Smart App Control e la telemetria EDR usando driver kernel Windows nativi, senza tecniche BYOVD
Il meccanismo: da AFD.sys a SYSTEM senza driver di terze parti
La vulnerabilità risiede nel driver AFD.sys (Ancillary Function Driver for WinSock), componente integrato in ogni sistema Windows che gestisce le operazioni socket. Secondo il record ufficiale del NVD, si tratta di una use-after-free con vettore CVSS 3.1 AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H e punteggio base 7.0. L'attaccante con accesso locale e privilegi ridotti può innescare una race condition per elevare i propri diritti fino a SYSTEM.
L'innovazione tattica di Lazarus sta nell'evitare completamente il Bring Your Own Vulnerable Driver (BYOVD), tecnica ormai controllata dalle blocklist dei vendor EDR. Usando un bug in un driver che Windows installa e carica di default, il gruppo elude i meccanismi di difesa basati su deny-list. Questo è il terzo caso documentato in due anni: precedenti zero-day in AFD.sys e driver correlati — CVE-2024-21338 e CVE-2024-38193 — sono già state sfruttate per operazioni simili.
Operation Dream Job rafforzata: da LinkedIn a siti fake in top posizione Google
La campagna rientra nell'Operation Dream Job, il programma di social engineering di Lazarus attivo dal 2020 che usa false offerte di lavoro per infiltrarsi in organizzazioni strategiche. La novità di questa iterazione è l'uso di infrastrutture legittime compromesse e di siti fake che impersonano aziende reali, posizionati in cima ai risultati dei motori di ricerca.
Check Point ha identificato almeno tre domini falsi che impersonano Enveil — envell[.]xyz, enveil[.]online, uxtramine[.]org — usati per distribuire un viewer PDF trojanizzato denominato SecurityPDF. Almeno uno di questi siti ha raggiunto la prima posizione per ricerche rilevanti. Secondo la fonte, non emergono indicazioni che Enveil stessa sia stata targetizzata o compromessa: si tratta di pura impersonazione del marchio. In almeno un caso, un'organizzazione francese già compromessa è stata utilizzata come piattaforma per inviare nuovi spear-phishing a potenziali vittime.
Troy, FudModule 3.1 e l'infrastruttura RelayShell: la catena di post-exploitation
Una volta ottenuto SYSTEM, gli operatori caricano FudModule 3.1, rootkit kernel-mode aggiornato che altera lo stato di VerifiedAndReputablePolicyState a zero e invoca NtSetSystemInformation con classe 0xA4 e opzione 0x10000000, scatenando il reload in-place della code integrity policy. Il risultato è la neutralizzazione di Smart App Control e della telemetria EDR.
Contemporaneamente viene deployato Troy, nuovo backdoor in-memory che Check Point descrive con 17 comandi operativi: enumerazione file, upload e download, archiviazione ed esfiltrazione, shell interattiva, terminazione processi, injection DLL in-memory e aggiornamento configurazione. Due catene di infezione parallele sono state documentate: una basata su DLL side-loading con il tool MISTPEN, l'altra sul viewer SecurityPDF.
L'infrastruttura di comando e controllo si appoggia su siti WordPress e SharePoint compromessi, oltre a server Roundcube vulnerabili a CVE-2025-49113. Per questi ultimi è stata documentata RelayShell, nuova web shell PHP che consente il controllo remoto dei server di posta compromessi. Check Point ha identificato almeno 17 server unici associati a questa rete di relay.
"For a while, the standard playbook for getting kernel access was bring-your-own-vulnerable-driver... Lazarus adapted by finding bugs in drivers that Windows ships by default. AFD.sys handles every socket operation on every Windows machine. You can't blocklist it."
Il CVSS 7.0 che batte le RCE critiche: quando il triage del rischio fallisce
Il caso espone una distorsione sistemica nei programmi di vulnerability management. CVE-2026-68820 ha un punteggio CVSS 7.0, classificazione "Important" secondo Microsoft. In un triage basato esclusivamente sulla severità dello score, questa LPE locale con condizioni di race finirebbe in mezza coda, dietro vulnerabilità RCE critiche mai osservate in exploitation reale.
La realt è diversa: Lazarus ha sfruttato questa fallura attivamente per due mesi, ottenendo SYSTEM privileges su endpoint Windows 11 aggiornati, bypassando EDR e Smart App Control, e mantenendo persistenza in settori ad alta sicurezza. Il dossier non documenta misure correttive specifiche oltre l'applicazione della patch, ma la discrepanza tra score teorico e impatto operativo è il punto centrale della lettura. Secondo Calderone, il triage per CVSS è "esattamente al contrario" di quanto serva contro attori APT.
Cosa fare adesso
- Applicare immediatamente l'aggiornamento del Patch Tuesday di agosto 2026 per CVE-2026-68820, con priorità massima per i sistemi del settore difesa e aerospaziale
- Verificare la presenza di indicatori relativi a Troy, FudModule 3.1 e RelayShell nelle reti già compromesse, data la durata dell'exploitation attivo da giugno
- Rivedere i criteri di prioritizzazione delle patch: una LPE con exploitation APT confermato deve superare RCE non sfruttati indipendentemente dal punteggio CVSS
- Controllare il traffico verso i domini fake documentati e auditare le catene di trust del social engineering, inclusi siti in top posizione sui motori di ricerca
Chi c'era dietro e cosa non sappiamo ancora
L'attribuzione a Lazarus Group è documentata da Check Point e corroborata da fonti convergenti sulla base dell'infrastruttura, dei moduli e della sovrapposizione con Operation Dream Job. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore ad altri gruppi allo stato attuale. Il dossier non specifica se la zero-day sia stata usata da altri attori oltre Lazarus, né l'entità completa delle compromissioni al di là dei casi noti in quattro paesi.
Come i ricercatori abbiano ottenuto visibilità sull'exploitation di giugno non è dichiarato nel brief: probabile incident response o honeypot, ma il metodo rimane non specificato. Ugualmente incerto il meccanismo esatto di integrazione dei siti fake nella catena di social engineering: ipotesi plausibile è un PDF inviato preventivamente seguito dal download del viewer, ma la sequenza non è documentata.
"What makes this campaign so dangerous is not only the zero-day vulnerability – but also how Lazarus wove legitimate, trusted infrastructure into every stage of the attack. They hid in plain sight, behind top-ranked search results, real vendor branding, and the reputation of organizations they had already compromised."
La campagna segnala un'evoluzione qualitativa nel modello di minaccia: non più semplice phishing a bassa tecnologia, ma un ecosistema dove ogni anello — motore di ricerca, sito compromesso, brand impersonato, driver di sistema — trasporta legittimità apparente. Per i difensori, l'implicazione è che la verifica del link come unico controllo non basta più. Il vero discrimine diventa la capacità di riconoscere attività anomale dopo l'accesso iniziale, quando l'attaccante opera già con privilegi SYSTEM e strumenti kernel-mode.
FAQ
Perché AFD.sys è particolarmente pericoloso rispetto ad altri driver Windows?
Perché è presente su ogni sistema Windows e gestisce tutte le operazioni di rete socket: non può essere inserito in blocklist senza compromettere la funzionalità di rete del sistema operativo.
Smart App Control è definitivamente disabilitato da FudModule 3.1?
Il dossier documenta che FudModule 3.1 altera lo stato della policy di code integrity, ma non specifica se la modifica sia permanente o reversibile senza riavvio.
Il backdoor Troy scrive su disco o opera solo in-memory?
Check Point descrive Troy come backdoor in-memory con capacità di injection DLL, ma non chiarisce se tutte le sue operazioni avvengano esclusivamente in RAM o se persistano in altre forme.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://thehackernews.com/2026/08/lazarus-exploits-windows-zero-day-to.html
- https://www.bleepingcomputer.com/news/security/lazarus-hackers-exploited-windows-zero-day-to-target-defense-firms/
- https://www.hendryadrian.com/lazarus-exploits-windows-zero-day-to-gain-system-access-and-deploy-backdoor/
- https://www.helpnetsecurity.com/2026/08/12/north-korea-lazarus-fake-job-offers/
- https://finance.biggo.com/news/3518b7b4-5d6d-4381-aa34-a1a3685ea695
- https://www.scworld.com/news/dprks-lazarus-group-exploits-windows-zero-day-in-backdoor-campaign
- https://nvd.nist.gov/vuln/detail/cve-2025-49113
- https://nvd.nist.gov/vuln/detail/CVE-2026-68820
- https://nvd.nist.gov/vuln/detail/CVE-2024-21338
- https://nvd.nist.gov/vuln/detail/CVE-2024-38193
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-68820