Lazarus cible la défense : faux jobs et zero-day Windows

Cinq semaines d'exploitation furtive dans les secteurs défense et aérospatial

Le groupe Lazarus — l'acteur de menace le plus emblématique parmi les APT nord-coréens, suivi sous les désignations HIDDEN COBRA et Zinc — a conduit une nouvelle vague d'Operation Dream Job en exploitant une vulnérabilité zero-day critique dans le composant AFD.sys (Ancillary Function Driver for WinSock) du noyau Windows. La faille, référencée CVE-2026-68820, est une vulnérabilité de type use-after-free provoquée par une race condition dans ce pilote responsable de la gestion des sockets réseau Windows. Un attaquant disposant d'une exécution de code locale peut l'exploiter pour élever ses privilèges jusqu'au niveau SYSTEM — le compte disposant des droits maximaux — sans aucune interaction supplémentaire de l'utilisateur.

Selon les analyses publiées par Check Point Research — qui a découvert et signalé la vulnérabilité — ainsi que par BleepingComputer, Help Net Security et The Hacker News, la chronologie de la campagne est précise. Le plus ancien artefact FudModule retrouvé sur des systèmes compromis porte un horodatage de compilation au 7 juillet 2026 : Lazarus exploitait activement la vulnérabilité depuis au moins cette date. Check Point Research a signalé la vulnérabilité à Microsoft le 28 juillet 2026. Microsoft a confirmé le problème en quelques jours et assigné formellement l'identifiant CVE-2026-68820 le 5 août 2026. Le correctif a été livré le 11 août lors du Patch Tuesday. La fenêtre d'exploitation non corrigée a donc duré au minimum cinq semaines. Le 13 août, la CISA a inscrit CVE-2026-68820 dans son catalogue Known Exploited Vulnerabilities (KEV), imposant aux agences fédérales américaines d'appliquer le patch avant le 25 août 2026.

Le vecteur d'entrée initial repose sur la technique emblématique d'Operation Dream Job, documentée depuis 2020. Les opérateurs de Lazarus se font passer pour des recruteurs de grandes entreprises technologiques ou de groupes de défense, et sollicitent leurs cibles — ingénieurs, techniciens et cadres des secteurs visés — via LinkedIn ou par email direct. Une fois la cible engagée dans un faux processus de recrutement, elle reçoit un document PDF ou une archive présentée comme une description de poste ou un test technique. Ce fichier intègre un dropper malveillant déclenchant la chaîne d'infection. Infosecurity Magazine a rapporté que certaines variantes de cette vague utilisent un échange de clés post-quantique pour chiffrer les communications avec l'infrastructure de commande et contrôle (C2), rendant l'interception encore plus difficile pour les équipes de défense.

Une fois le premier accès établi et CVE-2026-68820 exploité pour obtenir les privilèges SYSTEM, Lazarus déploie FudModule v3.1, la version la plus aboutie du rootkit kernel utilisé de longue date par le groupe. Selon l'analyse publiée par Check Point Research et Cybersecurity News, FudModule v3.1 opère directement au niveau du noyau Windows en manipulant des structures de données internes. Sa technique principale consiste à mettre à zéro le membre EtwpActiveSystemLoggers à l'intérieur de la structure kernel _ETW_SILODRIVERSTATE, ce qui supprime immédiatement le NT Kernel Logger et toutes les sessions de journalisation CKCL. Cette manipulation rend le rootkit pratiquement invisible pour la grande majorité des solutions EDR qui s'appuient sur l'instrumentation ETW (Event Tracing for Windows) pour leurs télémétries comportementales.

Les pays concernés par la vague d'attaques confirmée sont la France, l'Allemagne, le Brésil et l'Inde. Les secteurs ciblés couvrent la technologie militaire, l'aviation civile et militaire, les systèmes de surveillance électronique, les drones et la robotique. La sélection de ces cibles — deux membres de l'OTAN, deux grandes puissances émergentes, tous avec des industries de défense significatives — reflète l'ambition géopolitique de la campagne. Lazarus cherche à accéder à des informations sur les programmes d'armement, les systèmes de guidage et les technologies duales susceptibles d'alimenter les programmes militaires nord-coréens, soumis à de sévères embargos internationaux depuis les résolutions du Conseil de sécurité de l'ONU.

Les indicateurs de compromission (IOC) publiés comprennent des hachages cryptographiques des exécutables associés au dropper initial, des noms de domaine de commande et contrôle, des adresses IP liées à l'infrastructure Lazarus, et des signatures comportementales spécifiques à FudModule v3.1. Les équipes de sécurité sont invitées à rétro-analyser leurs journaux depuis le 7 juillet 2026 pour détecter d'éventuelles compromissions passées. Des victimes supplémentaires non encore identifiées pourraient avoir été touchées si d'autres variantes de l'exploit existaient antérieurement à la date d'horodatage la plus ancienne connue.

La sophistication technique de cette campagne dépasse celle des vagues précédentes d'Operation Dream Job. L'utilisation d'un zero-day kernel Windows — dont le développement ou l'acquisition représente un investissement de plusieurs centaines de milliers de dollars sur le marché des exploits — témoigne de la valorisation économique que Lazarus accorde aux informations des secteurs défense et aérospatial. Le groupe Lazarus génère par ailleurs des revenus considérables pour le régime nord-coréen via des attaques contre les plateformes d'échange de cryptomonnaies, revenus qui financent selon le Groupe d'experts des Nations Unies une part substantielle des programmes balistiques et nucléaires de Pyongyang.

Pour les organisations n'ayant pas encore appliqué le Patch Tuesday d'août 2026, la priorité est absolue. CVE-2026-68820 affecte toutes les versions maintenues de Windows. Aucun proof-of-concept public n'était disponible au moment de la publication, mais le niveau de détail des analyses de Check Point Research est suffisant pour qu'un attaquant qualifié développe son propre exploit à partir de la description de la race condition dans AFD.sys.

Pourquoi Operation Dream Job reste l'une des campagnes APT les plus durables de la décennie

Operation Dream Job n'est pas une campagne nouvelle. Documentée pour la première fois en 2020 par ClearSky et ESET, elle a connu depuis de multiples évolutions tactiques, techniques et procédurales. Sa persistance sur plus de six ans — un horizon exceptionnel pour une campagne APT — s'explique par plusieurs facteurs conjugués. Le ciblage est précis et sectoriel : les opérateurs sélectionnent des individus ayant accès à des informations techniques sensibles. Le prétexte du recrutement exploite un ressort psychologique universel et puissant — l'aspiration professionnelle et financière — qui reste efficace même chez des professionnels entraînés à la vigilance cybersécurité, notamment dans des secteurs où la mobilité est forte et où les offres d'emploi des géants de la défense sont fréquentes et crédibles.

La dimension technique de la campagne évolue de manière continue et cohérente. Les premières vagues reposaient sur des macros Office et des DLL malveillantes relativement standard. Les versions récentes exploitent des zero-days dans des composants kernel Windows — une progression qualitative majeure. L'intégration d'algorithmes de cryptographie post-quantique dans les communications C2 illustre également une veille technique de haut niveau et une volonté d'anticiper les évolutions futures des capacités d'interception des défenseurs.

Pour les entreprises françaises des secteurs défense, aérospatial et dual-use, la menace Lazarus doit désormais occuper une place centrale dans les registres de risques et les plans de réponse aux incidents. La France est une cible confirmée de la vague d'août 2026. La base industrielle et technologique de défense française (BITD) comprend de nombreux acteurs — grands groupes industriels comme PME sous-traitantes — qui détiennent des informations techniques de haute valeur pour Lazarus. L'ANSSI a publié par le passé des bulletins d'alerte spécifiques sur les groupes APT nord-coréens ; les organisations concernées sont invitées à consulter les publications récentes de l'agence et à vérifier leurs configurations de détection.

Sur le plan de la détection, la sophistication de FudModule v3.1 pose un défi particulier aux architectures de sécurité traditionnelles. Les EDR opérant exclusivement en user-mode sont aveuglés lorsqu'un rootkit agit au niveau noyau et neutralise les canaux ETW. Les approches les plus efficaces reposent sur l'analyse comportementale du trafic réseau (anomalies de beaconing C2), la surveillance des accès aux structures kernel sensibles via des solutions basées sur eBPF ou des hyperviseurs de sécurité, la corrélation d'événements entre journaux Windows Event Viewer et télémétries EDR, et l'utilisation de règles YARA spécifiques publiées par les équipes de threat intelligence pour scanner les artefacts stockés.

Ce qu'il faut retenir

• Appliquer immédiatement le Patch Tuesday d'août 2026 pour corriger CVE-2026-68820 dans AFD.sys — toutes les versions Windows maintenues sont vulnérables à cette élévation de privilèges jusqu'au niveau SYSTEM.
• Rechercher les IOC FudModule v3.1 dans les journaux depuis le 7 juillet 2026 pour détecter d'éventuelles compromissions passées inaperçues.
• Sensibiliser les équipes techniques des secteurs défense, aérospatial et dual-use aux techniques de faux recrutement utilisées par Operation Dream Job, notamment via LinkedIn et les emails ciblés.