CVE-2026-68820 : Lazarus exploite un zero-day Windows 5 semaines avant le patch

Les faits

Le 2 septembre 2026, Check Point Research a publié un rapport technique révélant que le groupe nord-coréen Lazarus avait exploité CVE-2026-68820 — une faille d'escalade de privilèges dans AFD.sys, le pilote kernel sous-jacent aux Windows Sockets — pendant au moins cinq semaines avant que Microsoft ne publie un correctif le 11 août 2026 dans le cadre du Patch Tuesday d'août. La vulnérabilité, classée CVSS 7.8 (élevé), est une faille use-after-free permettant à un attaquant authentifié local de déclencher une race condition via une application spécialement conçue et d'obtenir les privilèges SYSTEM.

La découverte de l'exploitation a débuté par l'analyse d'un artefact du rootkit FudModule, signature technique caractéristique des opérations Lazarus. Un échantillon soumis à VirusTotal le 14 juillet 2026 portait un horodatage de compilation au 7 juillet 2026 — soit le premier jour d'utilisation documentée de l'exploit. Check Point Research a notifié Microsoft le 28 juillet ; Microsoft a confirmé la vulnérabilité le 31 juillet, lui a attribué l'identifiant CVE-2026-68820 le 5 août, et a publié le correctif le 11 août. Fenêtre d'exploitation confirmée : cinq semaines au minimum.

La campagne s'inscrit dans la continuité d'Operation Dream Job, l'opération Lazarus documentée depuis 2019 et l'une des plus persistantes de l'arsenal nord-coréen. Le principe est inchangé : contacter des professionnels hautement qualifiés des secteurs défense et technologie de défense via LinkedIn, Signal ou WhatsApp, sous couvert d'un recruteur d'une grande entreprise (Lockheed Martin, Boeing, Palantir, ou des cabinets de conseil reconnus), puis leur transmettre un document d'offre d'emploi ou un exercice technique piégé.

Dans la vague documentée par Check Point, les cibles confirmées se trouvaient en France, Allemagne, Brésil et Inde. Le document initial livrait un dropper qui installait un nouveau backdoor baptisé Troy par les chercheurs — jamais documenté auparavant. Troy se distingue par sa légèreté et sa discrétion : il n'effectue que des balises périodiques vers son infrastructure de commande et contrôle (C2), transmet le minimum d'informations sur l'environnement compromis, et attend des instructions avant d'activer des capacités supplémentaires. Son empreinte réseau minimale le rend particulièrement difficile à détecter via les solutions de surveillance traditionnelle.

L'infrastructure C2 de Troy représente une évolution tactique notable pour Lazarus. Au lieu de serveurs dédiés facilement identifiables et bloquables par réputation IP, le groupe a compromis des serveurs d'entreprises légitimes de taille intermédiaire en Europe et en Asie du Sud-Est pour les utiliser comme relais. Cette technique — parfois appelée "living-off-trusted-infrastructure" — rend la détection par threat intelligence traditionnelle particulièrement difficile : les IPs sources figurent dans des listes de réputation positive.

L'enchaînement de l'attaque suivait un schéma en trois temps. Première phase : l'infection via Troy permettait une reconnaissance discrète de l'environnement. Si la cible présentait un intérêt stratégique — accès à des systèmes sensibles, rôle dans des programmes de défense, habilitation de sécurité — Lazarus déployait FudModule avec l'exploit CVE-2026-68820 pour obtenir les privilèges SYSTEM. Troisième phase : un outil d'exfiltration non encore nommé publiquement acheminait les données vers des serveurs de staging. L'ensemble de la chaîne peut s'exécuter en quelques heures sur une cible active.

La CISA a ajouté CVE-2026-68820 à son catalogue KEV (Known Exploited Vulnerabilities) le 22 août 2026, avec une échéance d'application du correctif fixée au 1er septembre 2026 pour les agences fédérales civiles américaines sous directive BOD 22-01. L'ANSSI a publié une alerte similaire recommandant l'application urgente du patch pour les organisations françaises des secteurs défense et industrie critique. Aliteq et Brinztech ont documenté des tentatives de phishing Dream Job ciblant des ingénieurs en France dès le mois de juillet 2026, avant même la divulgation publique de la campagne.

La sophistication de cette campagne illustre une réalité que les équipes de sécurité des secteurs sensibles doivent intégrer : Lazarus Group dispose d'une capacité de recherche en vulnérabilités comparable aux meilleurs laboratoires privés, des ressources pour maintenir des campagnes d'ingénierie sociale sur des mois, et une patience opérationnelle qui lui permet d'exploiter des failles zero-day pendant des semaines tout en restant sous le radar. La combinaison d'un vecteur d'accès initial discret (Troy) et d'une escalade de privilèges fiable (CVE-2026-68820) constitue une chaîne d'attaque complète que les contrôles traditionnels ne détectent pas sans configuration spécifique.

Impact et exposition

CVE-2026-68820 affecte toutes les versions de Windows disposant du pilote AFD.sys : Windows 10 toutes versions, Windows 11, Windows Server 2016 à 2025. L'exploitation nécessite un accès utilisateur authentifié (session standard) sur la machine cible — accès que Lazarus obtient en première phase via Troy. Les secteurs prioritairement ciblés sont la défense, l'aérospatiale, les technologies duales et les sous-traitants industriels travaillant sur des contrats gouvernementaux sensibles. Les professionnels avec des profils publics attractifs sur LinkedIn sont particulièrement exposés au vecteur d'infection initial.

Recommandations

• Appliquer immédiatement le Patch Tuesday d'août 2026 sur tout le parc Windows (KB5041583 pour Windows 11, KB5041571 pour Windows Server 2022) — le correctif CVE-2026-68820 est inclus.
• Sensibiliser les équipes techniques aux techniques Dream Job : aucune offre d'emploi légitime ne nécessite l'exécution d'un fichier ou l'accès à des ressources externes via un document reçu spontanément.
• Déployer les règles de détection publiées par Check Point Research le 2 septembre 2026 : les IOC incluent des hachages SHA256 de FudModule et de Troy, ainsi que des indicateurs réseau des serveurs C2 compromis.
• Auditer les connexions sortantes inhabituelles depuis les postes des équipes techniques vers des serveurs en Asie du Sud-Est ou en Europe de l'Est.
• Signaler toute approche suspecte via LinkedIn ou email à votre SOC et, pour les entités françaises, à l'ANSSI.