Lazarus khai thác lỗ hổng Windows để giành quyền SYSTEM và cài backdoor
"Lazarus Group was reported exploiting CVE-2026-68820, a Windows AFD.sys privilege escalation flaw patched in Microsoft’s August 2026 updates, to obtain SYSTEM privileges and deploy a new backdoor in a cyber-espionage campaign targeting defense and aerospace organizations. The intrusion chains used malicious PDFs, trojanized PDF viewers, DLL sideloading, and a rootkit (FudModule 3.1) to evade detection, persist, and enable remote access and data theft."
Tác động cao do khai thác zero-day/đã vá, leo thang lên SYSTEM và triển khai backdoor để duy trì truy cập, đánh cắp dữ liệu.
Có thể gây rò rỉ dữ liệu nhạy cảm, gián đoạn điều tra nội bộ và tăng chi phí ứng phó cho môi trường doanh nghiệp trong các ngành mục tiêu.
Nhóm đe doạ Lazarus Group được ghi nhận đã khai thác CVE-2026-68820 trên Windows AFD.sys để leo thang đặc quyền lên SYSTEM, sau đó triển khai một backdoor mới trong chiến dịch gián điệp mạng nhắm vào các tổ chức quốc phòng và hàng không vũ trụ tại Pháp, Đức, Brazil và Ấn Độ. Lỗ hổng này đã được Microsoft vá trong bản cập nhật Patch Tuesday tháng 8/2026 và được gán CVSS 7.0.
Theo phân tích, chuỗi tấn công kết hợp PDF độc hại, trình xem PDF trojan hoá, DLL sideloading và một rootkit để né tránh phát hiện, duy trì hiện diện và thu thập dữ liệu. Hai nhánh lây nhiễm chính được quan sát gồm: tải tệp nén mã hoá để kích hoạt MISTPEN và khai thác AFD.sys; hoặc cài đặt trình xem SecurityPDF giả mạo để nạp Troy trực tiếp vào bộ nhớ. Một số thành phần còn hỗ trợ chụp màn hình, liệt kê tiến trình, tải lên/tải xuống tệp và mở shell tương tác.
Khuyến nghị: cập nhật bản vá Windows, rà soát dấu hiệu DLL sideloading, chặn miền và hạ tầng giả mạo, đồng thời tăng giám sát các tiến trình có hành vi leo thang đặc quyền và nạp mã trong bộ nhớ.