Lazarus Exploits Windows Zero-Day to Gain SYSTEM Access and Deploy Backdoor

Espionnage cybernétique : Lazarus exploite une faille zero-day Windows

Le groupe nord-coréen Lazarus cible les secteurs de la défense et de l’aérospatiale via sa campagne « Operation Dream Job ». Utilisant des techniques d’ingénierie sociale sophistiquées sur LinkedIn, les attaquants piègent les professionnels avec de fausses offres d’emploi pour déployer des logiciels malveillants, dont une nouvelle porte dérobée baptisée « Troy ».

Points clés :

• Méthodes d’infection : DLL side-loading (via MISTPEN) et utilisation d’une visionneuse PDF piégée (« SecurityPDF »).
• Persistance et furtivité : Utilisation du rootkit FudModule 3.1, capable de contourner les contrôles d’intégrité de Windows (Smart App Control) et d’obtenir des privilèges SYSTEM.
• Infrastructure : Détournement de sites WordPress, SharePoint et serveurs Roundcube légitimes pour servir de serveurs de commande et contrôle (C2), rendant la détection complexe.

Vulnérabilités :

• CVE-2026-68820 (Score CVSS 7.0) : Faille d’élévation de privilèges dans le pilote Windows « AFD.sys ».
• CVE-2025-49113 : Vulnérabilité exploitée sur les serveurs Roundcube pour déployer le web shell « RelayShell ».

Recommandations :

• Appliquer les correctifs immédiatement : Mettre à jour Windows dès la sortie des correctifs (Patch Tuesday).
• Vérification logicielle : Télécharger les logiciels uniquement via les canaux officiels des éditeurs et éviter de se fier aveuglément aux résultats des moteurs de recherche.
• Approche Zero-Trust : Considérer que même les sites web d’apparence légitime ou les partenaires habituels peuvent être compromis.
• Vigilance accrue : Se méfier des sollicitations professionnelles inattendues sur les réseaux sociaux, même lorsqu’elles semblent authentiques.

Source