Lazarus-Gruppe: Windows-Zero-Day und KI-Angriffe dokumentiert
Veröffentlicht am: 13.08.2026 um 03:13 Uhr | Redaktion boerse-global.de
Sicherheitsexperten haben eine neue Angriffswelle der nordkoreanischen Lazarus-Gruppe dokumentiert, die durch einen hohen technologischen Reifegrad und den Einsatz teilautonomer KI-Angriffe gekennzeichnet ist. Dabei nutzte die Gruppierung eine bisher unbekannte Zero-Day-Lücke im Windows-Betriebssystem, um gezielt Unternehmen aus den Bereichen Verteidigung und Luft- und Raumfahrt in Europa und Indien zu infiltrieren.
Gezielte Infiltration über „Operation Dream Job“
Die aktuellen Angriffe werden der bereits länger bekannten Kampagne „Operation Dream Job“ zugeordnet. Hierbei treten die Angreifer mit gefälschten Stellenangeboten an Mitarbeiter der Zielunternehmen heran. Im Rahmen dieser Kampagne wurden zwei unterschiedliche Infektionswege identifiziert: Zum einen setzten die Akteure auf DLL-Sideloading unter Verwendung der Schadsoftware MISTPEN. Zum anderen kam ein manipulierte PDF-Betrachter namens SecurityPDF zum Einsatz, der die sogenannte Troy-Backdoor installiert. Diese Hintertür verfügt über ein Spektrum von 17 Befehlen, mit denen die Angreifer die infizierten Systeme steuern können.
Die Angriffe richteten sich konkret gegen Unternehmen in Deutschland, Frankreich, Indien und Brasilien. Bereits am 28.07.2026 hatte das Sicherheitsunternehmen Check Point über die laufende Kampagne berichtet. Im Zusammenhang mit den Aktivitäten der Gruppe wird zudem ein unbestätigter Datenabfluss in Höhe von 110 GB beim Hotel Gran Caribe erwähnt.
Technologische Innovationen bei Verschlüsselung und Tarnung
Besonders hervorzuheben ist der erstmalige Einsatz von Post-Quantum-Verschlüsselungsverfahren für die Kommunikation mit den Kontrollservern. Die Lazarus-Gruppe nutzte hierfür Kyber- beziehungsweise ML-KEM-Algorithmen für den Schlüsselaustausch. Zur Verschleierung ihrer Aktivitäten diente eine Relay-Infrastruktur, die aus 17 kompromittierten Roundcube-Servern bestand. Hierbei wurde eine Sicherheitslücke mit der Kennung CVE-2025-49113 ausgenutzt.
Angriffe auf Firmendaten nehmen stetig zu und zeigen, wie wichtig eine proaktive Absicherung der eigenen IT-Infrastruktur heute ist. Dieser kostenlose Expertenreport hilft Unternehmen dabei, Sicherheitslücken zu schließen und aktuelle Bedrohungen frühzeitig zu erkennen. IT-Sicherheit stärken und Unternehmen proaktiv schützen
Zusätzlich setzte die Gruppe das FudModule-Rootkit in der Version 3.1 ein. Diese Schadsoftware ist in der Lage, 94 verschiedene ETW-Provider (Event Tracing for Windows) zu überwachen und so Entdeckungsmechanismen des Betriebssystems gezielt zu unterlaufen.
Microsoft reagiert mit umfangreichem Sicherheitsupdate
Das Kernstück des Angriffs bildete die Zero-Day-Lücke CVE-2026-68820. Es handelt sich dabei um einen Use-after-free-Fehler im Treiber AFD.sys, der eine Eskalation von Privilegien ermöglicht. Microsoft veröffentlichte am 11.08.2026 einen entsprechenden Patch für diese Schwachstelle.
Wer sich mit der Sicherheit seiner digitalen Arbeitsumgebung befasst, sollte auch die Risiken bei der Zusammenarbeit außerhalb des Büros nicht unterschätzen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie mobiles Arbeiten und Home-Office-Zugänge rechtssicher und geschützt vor Angriffen gestalten. Kostenlose Vorlagen für sicheres Home-Office sichern
Die Behebung dieser Lücke war Teil des umfassenden Sicherheitsupdates vom August 2026. Insgesamt schloss das Unternehmen im Rahmen dieses Updates 400 Sicherheitslücken. Davon wurden 42 als kritisch eingestuft. Neben der von der Lazarus-Gruppe aktiv ausgenutzten Schwachstelle wurden zwei weitere Zero-Day-Lücken öffentlich bekannt: CVE-2026-62832, die den Benutzerprofildienst betrifft, sowie CVE-2026-72971 im Bereich der Container-Isolierung.
Die Gesamtzahl der im August behobenen Schwachstellen unterstreicht die aktuelle Bedrohungslage: Die Korrekturen umfassten unter anderem 176 Möglichkeiten zur Rechteausweitung, 110 Schwachstellen für Remote Code Execution (RCE) sowie 86 Lecks für den Abfluss von Informationen. Ferner wurden Fehler in den Bereichen Spoofing (21), Denial-of-Service (12) und die Umgehung von Sicherheitsfunktionen (11) adressiert.
