Lazarus arma un zero-day Windows con crittografia post-quantum:…

Il gruppo Lazarus ha introdotto l'algoritmo ML-KEM (Kyber) nel canale di comando e controllo della sua infrastruttura MISTPEN per distribuire l'exploit zero-day

{"main_topic":"cybersecurity","topics":["cybersecurity","zero-day","exploit","malware","cve"]}

Il gruppo Lazarus ha introdotto l'algoritmo ML-KEM (Kyber) nel canale di comando e controllo della sua infrastruttura MISTPEN per distribuire l'exploit zero-day CVE-2026-68820 contro il driver kernel Windows AFD.sys. L'operazione, documentata da Check Point Research l'11 agosto 2026, ha colpito aziende del settore difesa e aerospaziale in Europa e India attraverso la campagna Operation Dream Job. Non si tratta di un'arma quantistica: è la prima volta che un APT adotta la crittografia post-quantum standardizzata dal NIST non per difendersi dal quantum computing, ma per rendere il proprio traffico offensivo opaco agli strumenti di ispezione attuali.

Punti chiave

ML-KEM (Kyber) cifra il canale C2 di MISTPEN prima della distribuzione dell'exploit zero-day CVE-2026-68820
La vulnerabilità è una use-after-free con race condition nel driver kernel-mode AFD.sys, con CVSS 7.0 secondo Microsoft
FudModule v3.1 disabilita 94 provider ETW e manipola Smart App Control per eludere il monitoraggio
L'exploit era attivo in-the-wild almeno dal 7 luglio 2026, con una finestra di exploitation di cinque settimane prima della patch dell'11 agosto

Il meccanismo ML-KEM: quando la difesa post-quantum diventa arma offensiva

L'innovazione tecnica risiede nel modulo LPE (Local Privilege Escalation) di MISTPEN. Il loader richiede quattro public key dal server di comando e controllo, genera key material fresco attraverso Kyber/ML-KEM e restituisce l'encapsulated result. Solo dopo questo handshake il server trasmette l'exploit cifrato, che viene decrittato in memoria ed eseguito. Questo layer si sovrappone alle crittografie preesistenti GOST-CBC e AES del framework MISTPEN, rendendo il payload effettivamente opaco a qualsiasi sistema che non disponga di capacità di decapsulation ML-KEM.

Check Point Research ha documentato l'intera catena: il modulo LPE ottiene le chiavi, stabilisce il canale sicuro, riceve l'exploit per CVE-2026-68820 e lo esegue per elevare i privilegi a SYSTEM. A quel punto FudModule v3.1 assume il controllo del kernel. La scelta di ML-KEM non è casuale: l'algoritmo è pubblico, standardizzato dal NIST, e la sua presenza nel traffico non attiva néattenzione particolare nei sistemi di rilevamento. L'effetto pratico è che una tecnologia progettata per proteggere il traffico legittimo dal futuro quantum computing viene utilizzata per proteggere il traffico malevolo dal presente.

CVE-2026-68820: la quarta volta che AFD.sys diventa zero-day

La vulnerabilità è classificata da Microsoft come use after free in Windows Ancillary Function Driver for WinSock. L'exploitation richiede la vittoria di una race condition e presuppone un accesso locale con privilegi limitati: il CVSS ufficiale è 7.0 (AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H), categoria HIGH. Il punteggio, pur essendo tecnicamente accurato per il modello di attacco, è considerato dagli analisti sottostimato per uno zero-day attivo in-the-wild contro infrastrutture critiche.

Microsoft ha assegnato il CVE il 5 agosto 2026 e rilasciato la patch il successivo 11 agosto. Check Point aveva segnalato la vulnerabilità il 28 luglio. Il timestamp dell'artifact FudModule v3.1 risale tuttavia al 7 luglio, confermando un'attività di almeno cinque settimane prima della correzione. Sergey Shykevich, director of threat intelligence di Check Point Software, ha indicato a The Hacker News che l'exploit era già funzionante "all'inizio di giugno", estendendo la finestra di exploitation a circa due mesi.

Questa è la quarta vulnerabilità zero-day documentata in AFD.sys dal 2022, dopo CVE-2024-38193, CVE-2025-21418 e CVE-2025-32709. Il pattern suggerisce che il driver continui a essere un bersaglio privilegiato per l'elevazione dei privilegi a livello kernel.

FudModule v3.1, Troy e RelayShell: l'infrastruttura nascosta dietro legittimità

Una volta ottenuto SYSTEM, FudModule v3.1 opera direttamente sulle strutture kernel. Check Point ha verificato che il rootkit disabilita 94 provider Event Tracing for Windows (ETW) azzerando EtwpActiveSystemLoggers e le variabili REGHANDLE globali. Contemporaneamente manipola Smart App Control impostando VerifiedAndReputablePolicyState a zero e invocando NtSetSystemInformation con classe 0xA4 e opzione 0x10000000, forzando il ricaricamento in-place della policy di code integrity.

La catena di accesso iniziale si articola attraverso Operation Dream Job, la campagna di social engineering su LinkedIn con offerte di lavoro false. Le vittime vengono indirizzate a siti che impersonano Enveil, società reale di cybersecurity, con almeno tre domini identificati: envell[.]xyz, enveil[.]online, uxtramine[.]org. Alcuni di questi siti erano posizionati nei top risultati dei motori di ricerca. Da lì viene distribuito SecurityPDF, un file malevolo che avvia la compromissione.

L'infrastruttura di comando e controllo si appoggia su server Roundcube compromessi attraverso CVE-2025-49113 (CVSS 9.9 CRITICAL), una vulnerabilità di webmail su cui Microsoft ha già rilasciato advisory. Su questi server è stato installato RelayShell, un webshell PHP precedentemente non documentato. Check Point ha identificato almeno 17 server relay compromessi. Parallelamente, il backdoor Troy supporta 17 comandi operator per enumerazione file, upload/download, archiviazione, esfiltrazione, shell interattiva, terminazione processi, iniezione DLL in memoria e aggiornamento configurazione.

"When the website, the download and the recruiter all appear authentic, the old advice to 'spot the phishing link' is no longer easily applicable" — Sergey Shykevich, Check Point Software

Cosa fare adesso

Applicare immediatamente la patch Microsoft per CVE-2026-68820, inserita nel catalogo KEV di CISA l'11 agosto 2026. La vulnerabilità è sfruttata attivamente e non richiede interazione utente oltre all'accesso locale iniziale.

Verificare il software attraverso canali ufficiali, non attraverso i ranking dei motori di ricerca. I siti fake Enveil dimostrano che la visibilità in prima pagina non equivale a autenticità.

Ispezire il traffico MISTPEN su Microsoft Graph API e OneDrive, canali legittimi che Lazarus utilizza per il C2. La presenza di ML-KEM rende l'ispezione del payload impossibile senza decapsulation, ma i pattern di accesso API rimano analizzabili.

Riallocare le risorse di threat hunting sui 94 provider ETW disabilitabili da FudModule, con particolare attenzione agli eventi di ricaricamento policy Smart App Control tramite NtSetSystemInformation classe 0xA4.

Perché la scelta di ML-KEM cambia il perimetro della difesa

L'adozione di crittografia post-quantum da parte di Lazarus non è una curiosità tecnica: è un'anticipazione strategica del problema che i CISO dovranno affrontare nei prossimi anni. Le architetture di monitoraggio attuali presumono che il traffico C2 sia, in linea di principio, ispezionabile. ML-KEM rende questa premessa obsoleta senza attendere la disponibilità di computer quantistici. Il dossier non specifica come il gruppo abbia ottenuto le quattro public key iniziali per il handshake né se l'uso di ML-KEM sia motivato da una minaccia specifica nota ai suoi operatori. Non emergono inoltre sovrapposizioni infrastrutturali che colleghino questo exploit ad altri gruppi APT allo stato attuale.

L'operazione colpisce aziende in Francia, Germania, Brasile e India, con focus su sensori di sorveglianza, droni e robotica. I target rispecchiano il pattern storico di Lazarus nel settore UAV documentato da ESET. La persistenza del vettore social engineering attraverso LinkedIn, nonostante anni di campagne di awareness, conferma che l'ingegneria sociale mirata resta il punto di ingresso più economico e più efficace.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti