Lazarus hackers exploited Windows zero-day to target defense firms
Mis à jour :
Exploitation du Zero-Day Windows par Lazarus dans l’opération “Dream Job”
Le groupe de hackers nord-coréen Lazarus cible activement les secteurs de la défense, de l’aérospatiale et de l’aviation via la campagne “Operation Dream Job”. Ces attaques utilisent des offres d’emploi frauduleuses pour infiltrer les systèmes et déployer des outils de persistance sophistiqués.
Points clés :
- Mode opératoire : Utilisation de l’hameçonnage ciblé (spear-phishing) et de serveurs Roundcube compromis pour masquer les communications malveillantes.
- Outils malveillants :
- Le rootkit FudModule (version mise à jour) capable de désactiver les solutions de sécurité (EDR) et de contourner le contrôle des applications (Smart App Control).
- La nouvelle porte dérobée (backdoor) nommée Troy, permettant l’exécution de commandes à distance, l’exfiltration de fichiers et l’injection DLL en mémoire.
- Le web shell RelayShell, utilisé pour maintenir un accès sur des serveurs Roundcube infectés.
Vulnérabilités :
- CVE-2026-68820 : Vulnérabilité de type “use-after-free” dans le pilote AFD.sys de Windows. Permet une élévation de privilèges locale jusqu’au niveau SYSTEM sans interaction utilisateur.
- CVE-2025-49113 : Vulnérabilité de désérialisation d’objets PHP dans Roundcube, exploitée après authentification pour obtenir une exécution de code à distance (RCE).
Recommandations :
- Mise à jour système : Appliquer immédiatement les correctifs de sécurité fournis lors du “Patch Tuesday” d’août 2026 pour corriger la faille CVE-2026-68820.
- Sécurisation Roundcube : Mettre à jour les instances de messagerie et surveiller l’intégrité des serveurs pour détecter toute présence du web shell RelayShell.
- Surveillance réseau : Utiliser les indicateurs de compromission (IoC) fournis par les chercheurs en cybersécurité et déployer les règles YARA pour détecter les traces de RelayShell.
- Formation : Sensibiliser les employés, particulièrement dans les secteurs sensibles, aux risques liés aux offres d’emploi non sollicitées reçues par courrier électronique.