Die unter dem Namen Lazarus bekannte Bedrohungsgruppe nutzt eine kritische, bisher unbekannte Schwachstelle im Windows-Betriebssystem aus, um im Rahmen einer globalen Spionagekampagne Zugriff auf sensible Netzwerke zu erhalten. Die als „Operation Dream Job“ bezeichnete Angriffswelle zielt primär auf Unternehmen aus den Sektoren Verteidigung und Luftfahrt ab. Dabei verschaffen sich die Akteure durch die Ausnutzung einer Sicherheitslücke weitreichende SYSTEM-Rechte auf den betroffenen Endgeräten.
Schwachstelle in afd.sys ermöglicht Privilegieneskalation
Im Zentrum der Angriffe steht die Schwachstelle CVE-2026-68820, die den Treiber afd.sys betrifft. Es handelt sich hierbei um einen sogenannten Use-after-free-Fehler, der eine lokale Ausweitung von Berechtigungen (Local Privilege Escalation, LPE) ermöglicht. Durch die erfolgreiche Ausnutzung können Angreifer die vollständige Kontrolle über ein infiziertes System erlangen.
Die Kampagne ist nach Erkenntnissen von Sicherheitsanalysten bereits seit Anfang des Jahres aktiv. Die Schwachstelle wurde von Experten des Unternehmens Check Point identifiziert und am 28. Juli an Microsoft gemeldet. Microsoft hat die Lücke im Rahmen seines Patch-Days am 11. August 2026 geschlossen. Dieser Patch-Zyklus war außergewöhnlich umfangreich; insgesamt wurden 398 Sicherheitsanfälligkeiten behoben.
Wer sich mit der Absicherung von Unternehmensnetzwerken gegen solche komplexen Bedrohungen befasst, findet in diesem kostenlosen E-Book wertvolle Informationen zu aktuellen Trends und Schutzmaßnahmen. Cyber Security Awareness Trends jetzt kostenlos herunterladen
Gezielte Köder mit gefälschten Stellenangeboten
Die Lazarus-Gruppe konzentriert ihre Aktivitäten auf strategisch bedeutsame Märkte, darunter Deutschland, Frankreich, Brasilien und Indien. Als Methode für den Erstkontakt dienen gefälschte Stellenanzeigen, die das Image namhafter Unternehmen wie Lockheed Martin oder Enveil missbrauchen. Potenzielle Opfer werden mit vermeintlich attraktiven Karrierechancen gelockt, um sie zur Installation schädlicher Software zu bewegen.
Dabei kommen unterschiedliche Infektionsketten zum Einsatz. Eine Variante nutzt das sogenannte DLL-Sideloading, um den MISTPEN-Downloader auszuführen. Im weiteren Verlauf wird das Rootkit FudModule in der Version 3.1 nachgeladen, um die Präsenz auf dem System zu verschleiern. Eine zweite Infektionsmethode basiert auf einem trojanisierten PDF-Viewer namens SecurityPDF, der eine Imitation von Enveil-Software darstellt. Dieser liefert die Troy-Backdoor aus, die über ein Repertoire von 17 verschiedenen Befehlen zur Fernsteuerung des Systems verfügt.
Innovative Verschlüsselung und behördliche Reaktion
Technisch auffällig ist die Weiterentwicklung der Kommunikationsinfrastruktur. Die Angreifer nutzen für ihren Command-and-Control-Kanal (C2) Post-Quantum-Kryptographie auf Basis von Kyber (ML-KEM). Die Kommunikation wird dabei über kompromittierte Roundcube-Server abgewickelt, wobei eine weitere Schwachstelle (CVE-2025-49113) und das Werkzeug RelayShell zum Einsatz kommen.
Angesichts immer raffinierterer Täuschungsmethoden wie gefälschter Software und gezielter Manipulation ist eine proaktive Aufklärung der Verantwortlichen unerlässlich. Dieses kostenlose Paket unterstützt Unternehmen dabei, neue Cyberrisiken und rechtliche Pflichten besser zu verstehen. Gratis-Report zu Cyberbedrohungen und KI-Gesetzen anfordern
Aufgrund der Schwere der Sicherheitslücke hat die US-Behörde CISA reagiert und CVE-2026-68820 in ihre Liste der bekannten ausgenutzten Schwachstellen aufgenommen. Für Bundesbehörden wurde eine verbindliche Frist bis zum 25. August 2026 gesetzt, um die entsprechenden Sicherheitsupdates einzuspielen. Trotz der detaillierten Analysen weisen Medienberichte darauf hin, dass eine unabhängige Verifizierung der Angriffe durch weitere Sicherheitsinstanzen derzeit noch aussteht.
Unternehmen im Bereich der kritischen Infrastruktur und der Rüstungstechnologie werden angehalten, ihre Systeme umgehend zu aktualisieren und Mitarbeiter hinsichtlich gezielter Phishing-Versuche über berufliche Netzwerke zu sensibilisieren.
