// TOM'S HARDWARE ITALIA — CYBERSECURITY
Lazarus sfrutta una zero-day di Windows contro aziende della difesa
Il Lazarus Group, legato alla Corea del Nord, ha sfruttato come zero-day una vulnerabilità di Windows successivamente corretta da Microsoft per attaccare aziende dei settori difesa e aerospazio. Le intrusioni hanno interessato organizzazioni in Francia, Germania, Brasile e India, permettendo agli aggressori di distribuire una nuova backdoor e assumere il controllo completo dei computer compromessi. La falla è identificata come CVE-2026-68820 e ha un punteggio CVSS pari a 7.0.
Gli attacchi rientrano in Operation Dream Job, una campagna di cyberspionaggio basata su false offerte di lavoro particolarmente credibili. Gli operatori si presentano come reclutatori di aziende quali Lockheed Martin ed Enveil, contattano i professionisti anche attraverso LinkedIn e costruiscono gradualmente un rapporto di fiducia. La vittima viene quindi indotta ad aprire un PDF malevolo oppure a installare un visualizzatore modificato, presentato come necessario per consultare il documento.
Gli aggressori hanno creato almeno tre siti che imitavano Enveil per distribuire il falso lettore SecurityPDF. Non è stato chiarito in quale fase esatta venissero proposti questi portali, ma la ricostruzione suggerisce l’invio iniziale del PDF tramite phishing, seguito dall’invito a scaricare il programma. Il software trojanizzato installa Troy, una backdoor inedita che offre accesso remoto al sistema e consente di superare i controlli di sicurezza presenti sulla macchina.
La catena d’infezione prende di mira AFD.sys, il driver Windows Ancillary Function Driver for WinSock. Lo sfruttamento locale della vulnerabilità permette al malware di ottenere privilegi SYSTEM e iniettare un’altra istanza del loader MISTPEN all’interno di un processo di sistema. Il codice dannoso può così operare con autorizzazioni elevate, nascondendosi più efficacemente agli strumenti di protezione installati sull’endpoint.
Un ruolo centrale è affidato a FudModule 3.1, versione aggiornata del rootkit in modalità kernel utilizzato dal gruppo almeno dal 2022. La nuova variante può interferire con Smart App Control, la funzione di Windows incaricata di verificare l’affidabilità dei programmi. Nel processo msiexec.exe eseguito come SYSTEM, il malware azzera VerifiedAndReputablePolicyState e richiama NtSetSystemInformation con la classe 0xA4 e l’opzione 0x10000000, forzando il ricaricamento della policy di integrità del codice.
Il caso arriva in un contesto in cui Windows registra quasi sei volte più rilevamenti per utente rispetto a macOS, mentre Lazarus rende ulteriormente complessa l’individuazione delle proprie attività riutilizzando servizi legittimi. Siti WordPress e SharePoint già compromessi, insieme a server Roundcube vulnerabili, sono stati trasformati in nodi di comando e controllo ForestTiger. Il traffico finisce così per confondersi con normali comunicazioni web.
Molti server Roundcube coinvolti risultavano vulnerabili a CVE-2025-49113 e ospitavano RelayShell, una web shell PHP precedentemente sconosciuta che scambiava comandi e risposte attraverso file di testo. In almeno un episodio, un’organizzazione francese già violata è stata usata per spedire nuovi messaggi di phishing, sfruttandone la reputazione per aggirare i filtri. Microsoft ha distribuito la correzione per CVE-2026-68820 con il Patch Tuesday di agosto 2026: l’installazione dell’aggiornamento elimina il vettore di escalation dei privilegi impiegato nella campagna.
Aggiungi Tom's Hardware alle tue fonti preferite su Google