CVE-2026-68820 : Lazarus exploite le zero-day WinSock pour déployer FudModule

Les faits

Le Patch Tuesday de Microsoft du 12 août 2026 a corrigé 398 vulnérabilités, dont une retenait particulièrement l'attention des équipes de sécurité : CVE-2026-68820, une élévation de privilèges dans le pilote kernel Windows Ancillary Function Driver for WinSock, communément désigné afd.sys. Microsoft a confirmé que cette vulnérabilité était exploitée dans la nature au moment de la publication du correctif, en faisant un zero-day au sens strict du terme.

La découverte et la divulgation responsable de CVE-2026-68820 sont l'œuvre des chercheurs de Check Point Research. Quelques jours avant la publication du correctif Microsoft, Check Point a alerté en privé l'éditeur qu'ils avaient découvert que le groupe Lazarus — l'APT nord-coréen notoire — exploitait activement cette faille dans des campagnes ciblant les secteurs de la défense et de l'aérospatiale. La chaîne d'exploitation fait partie d'une opération plus large baptisée Operation Dream Job, une campagne persistante de Lazarus qui utilise de fausses offres d'emploi attrayantes pour attirer des ingénieurs et chercheurs dans les secteurs sensibles.

Sur le plan technique, CVE-2026-68820 est une vulnérabilité de type use-after-free dans afd.sys, le pilote en mode kernel qui constitue l'épine dorsale de l'API Windows Sockets (Winsock). Le défaut réside dans une gestion incorrecte de la durée de vie d'un objet kernel référencé par les gestionnaires IOCTL de WinSock. Lorsqu'un chemin de code libère l'objet alors qu'un autre conserve une référence active, les opérations ultérieures déréférencent de la mémoire périmée. Un attaquant peut déclencher une condition de compétition pour transformer ce comportement en exécution de code arbitraire en mode kernel.

Le CVSS de CVE-2026-68820 est de 7.0, ce qui la classe en catégorie Haute mais non Critique. Cette note peut sembler en décalage avec la gravité réelle de la menace. En pratique, une élévation de privilèges vers SYSTEM sur un système Windows est une capacité extrêmement précieuse pour un attaquant : elle permet de désactiver les antivirus, de lire les secrets LSASS (mots de passe, tokens Kerberos), de modifier le registre système, d'établir des mécanismes de persistance au niveau noyau, ou encore d'installer un rootkit. C'est exactement ce que fait Lazarus avec cette CVE.

Le payload final déployé par Lazarus après l'élévation de privilèges via CVE-2026-68820 est FudModule, le rootkit en mode noyau signature du groupe. FudModule, dont des variantes ont été documentées depuis 2022, utilise des techniques Direct Kernel Object Manipulation (DKOM) pour masquer des processus, des pilotes et des connexions réseau aux outils de sécurité fonctionnant en espace utilisateur. La version déployée dans cette campagne d'août 2026 intègre des améliorations anti-détection supplémentaires, rendant sa détection encore plus difficile pour les solutions EDR traditionnelles.

Operation Dream Job fonctionne selon un schéma bien rodé. Les victimes reçoivent des messages sur LinkedIn ou d'autres plateformes professionnelles, prétendument de recruteurs pour des entreprises de défense ou de technologie de premier plan. On leur propose des entretiens techniques ou des tests de compétences. Ces tests incluent des archives compressées ou des liens vers des dépôts de code contenant des malwares camouflés en exercices techniques légitimes. Une fois le premier accès établi sur le poste de la victime, Lazarus utilise CVE-2026-68820 pour élever ses privilèges et déployer FudModule afin de s'implanter de manière persistante et indétectable.

Le contexte géopolitique est important pour comprendre la motivation de Lazarus. La Corée du Nord utilise ses unités de cyberattaque pour financer le régime et alimenter ses programmes d'armement, notamment nucléaire. Les ingénieurs et chercheurs des secteurs défense et aérospatiale sont des cibles prioritaires pour l'exfiltration de propriété intellectuelle sensible, de plans de conception de systèmes d'armes, et de données sur les programmes gouvernementaux classifiés. Cette campagne s'inscrit dans la continuité d'une stratégie documentée depuis des années par le FBI, la CISA et les services de renseignement alliés.

Il convient de noter que CVE-2026-68820 n'est pas isolée. Le même Patch Tuesday d'août 2026 a corrigé plusieurs autres vulnérabilités critiques, dont CVE-2026-63520 (SharePoint RCE CVSS critique, chaînable avec CVE-2026-50522 déjà dans le KEV CISA) et CVE-2026-62815 (Microsoft QUIC RCE CVSS 9.8 non-auth). La surface d'attaque Windows de cette période est donc particulièrement étendue, et le retard dans l'application des patches expose les organisations à des risques multiples et cumulatifs.

Impact et exposition

CVE-2026-68820 nécessite un accès local préalable pour être exploitée — elle ne permet pas d'intrusion initiale à distance par elle-même. Elle est cependant redoutable en post-compromission : dès qu'un attaquant a établi un premier accès (via phishing, CVE RCE distante, accès physique ou compromission de la supply chain), CVE-2026-68820 lui permet d'escalader immédiatement vers SYSTEM. Les organisations des secteurs défense, aérospatiale, ingénierie avancée et recherche sont particulièrement ciblées par Lazarus. Mais la faille concerne toutes les versions de Windows modernes — toute organisation non patchée est vulnérable à ce vecteur d'élévation de privilèges.

Recommandations

• Appliquer immédiatement les mises à jour Microsoft du Patch Tuesday d'août 2026 sur l'ensemble du parc Windows (postes et serveurs).
• Sensibiliser les équipes, notamment les ingénieurs et chercheurs, aux tentatives de recrutement frauduleuses sur LinkedIn et assimilés (Operation Dream Job).
• Déployer des règles de détection spécifiques à FudModule dans votre EDR : surveiller la création de pilotes noyau non signés, les modifications DKOM, et les appels IOCTL suspects vers afd.sys.
• Auditer les connexions sortantes inhabituelles et les processus système présentant des anomalies comportementales (parenté inattendue, injection de code).
• Activer la fonctionnalité Kernel Data Protection (KDP) de Windows si ce n'est pas déjà fait — elle rend certaines techniques DKOM plus difficiles.