🌟 Atualização imperdível para quem gosta de estar bem informado!
Leia, comente e fique sempre atualizado!
Apoie esse projeto de divulgacao de noticias! Clique aqui
O ator de ameaça norte-coreano conhecido como Grupo Lazarus foi atribuído à exploração de dia zero de uma falha de segurança recentemente corrigida que afetou o Microsoft Windows para fornecer um backdoor nunca antes visto visando empresas de defesa e aeroespaciais em França, Alemanha, Brasil e Índia.
A atividade, de acordo com a Check Point Research, faz parte da Operação Dream Job, uma campanha de longa duração de espionagem cibernética e engenharia social orquestrada por hackers apoiados por Pyongyang para atingir profissionais de todo o mundo com ofertas de emprego falsas, mas convincentes, em empresas como Lockheed Martin e Enveil para roubar dados confidenciais e instalar malware, abordando-os em plataformas como o LinkedIn, fingindo ser recrutadores na tentativa de construir confiança.
Descobriu-se que os ataques exploram CVE-2026-68820 (pontuação CVSS: 7,0), uma falha de escalonamento de privilégios que afeta o driver de função auxiliar do Windows para WinSock ("AFD.sys") que foi corrigido pela Microsoft como parte de suas atualizações de Patch Tuesday para agosto de 2026.
Conforme observado em campanhas anteriores, as vítimas são atraídas por mensagens falsas de recrutadores e levadas a abrir um PDF malicioso ou a instalar um visualizador de PDF trojanizado, que é então usado para instalar um novo backdoor chamado Troy, que concede acesso remoto à máquina comprometida. O objetivo final dessas intrusões é assumir o controle total dos computadores infectados e contornar os controles de segurança.
O uso de um visualizador de PDF trojanizado é uma tática testada e comprovada adotada pelo Grupo Lazarus em conjunto com o Dream Job, com os atores da ameaça abusando desse método já em 2022.
Duas sequências de infecção paralelas diferentes foram detectadas como parte dos ataques mais recentes -
Carregamento lateral de DLL, no qual as vítimas são instruídas a baixar um arquivo criptografado que é usado para acionar uma cadeia de carregamento lateral de DLL. A DLL maliciosa ("libmupdf.dll") é usada para exibir uma isca de descrição de trabalho falsa, enquanto baixa furtivamente e executa na memória um downloader leve chamado MISTPEN. O downloader se comunica com a infraestrutura controlada pelo agente da ameaça usando a API Microsoft Graph e o OneDrive para recuperar e executar módulos de reconhecimento e persistência e acionar a exploração do driver "AFD.sys", antes de implantar o ForestTiger (também conhecido como ScoringMathTea), que fornece acesso remoto ao host.
Visualizador de PDF "SecurityPDF" trojanizado, no qual as vítimas são instruídas a baixar o SecurityPDF de um site que se faz passar pelo Enveil. Uma vez instalado, ele monitora qualquer documento PDF aberto por meio dele em busca de um marcador especial ("Este documento está criptografado com o leitor sumatrapdf!!!!!!!!!!!!"). Se tal marcador estiver presente, o aplicativo descriptografa e inicia uma carga incorporada que é responsável por carregar um backdoor chamado Troy diretamente na memória. O implante DLL suporta 17 comandos de operador para facilitar a enumeração de arquivos, upload e download, arquivamento e exfiltração, acesso interativo ao shell, encerramento de processos, injeção de DLL na memória e atualizações de configuração.
Visão geral de alto nível da cadeia de infecção de carregamento lateral de DLL.
O MISTPEN, por sua vez, carrega pelo menos quatro módulos diferentes -
GetInfoPlugin ("Release_GetInfoPlugin_x64.dll"), para criar o perfil do host e exfiltrar as informações coletadas como uma única sequência de caracteres largos
PvPlugin ("Release_PvPlugin_x64.dll"), para coletar dados de reconhecimento do host e detalhes sobre processos em execução
OneScreenCapture ("OneScreenCapture64.dll"), para fazer capturas de tela da área de trabalho atual, incluindo todos os monitores, e transmiti-las como imagens JPEG
Carregador LPE (escalonamento de privilégio local), que coleta informações do host, gera novo material de chave usando o algoritmo de encapsulamento de chave pós-quântica ML-KEM e usa a chave negociada durante o processo de handshake para descriptografar e executar o FudModule.
A cadeia de ataque emprega uma versão atualizada do conhecido rootkit de modo kernel que o Grupo Lazarus tem empregado repetidamente desde pelo menos 2022 para ocultar a presença de ferramentas maliciosas do software de segurança instalado no host.
Um dos sites com alta classificação nos resultados de pesquisas para "Enveil SecurityPDF"
Especificamente, ele explora uma vulnerabilidade de escalonamento de privilégios locais em “AFD.sys”, obtém privilégios de SYSTEM e, por fim, injeta outra instância de MISTPEN em um processo de SYSTEM para permitir que ele seja executado com privilégios elevados e longe dos olhos das ferramentas de segurança. A versão mais recente, chamada FudModule 3.1, melhora seu antecessor, permitindo que ele altere um recurso do Windows chamado Smart App Control, projetado para verificar se um programa é seguro para execução.
“Dentro do processo filho msiexec.exe de nível SYSTEM, seu stub remoto define VerifiedAndReputablePolicyState como zero e invoca a classe NtSetSystemInformation 0xA4 com a opção 0x10000000, acionando uma recarga no local da política de integridade de código”, disse Check Point.
Além do mais, diz-se que os atacantes têm
A atividade, de acordo com a Check Point Research, faz parte da Operação Dream Job, uma campanha de longa duração de espionagem cibernética e engenharia social orquestrada por hackers apoiados por Pyongyang para atingir profissionais de todo o mundo com ofertas de emprego falsas, mas convincentes, em empresas como Lockheed Martin e Enveil para roubar dados confidenciais e instalar malware, abordando-os em plataformas como o LinkedIn, fingindo ser recrutadores na tentativa de construir confiança.
Descobriu-se que os ataques exploram CVE-2026-68820 (pontuação CVSS: 7,0), uma falha de escalonamento de privilégios que afeta o driver de função auxiliar do Windows para WinSock ("AFD.sys") que foi corrigido pela Microsoft como parte de suas atualizações de Patch Tuesday para agosto de 2026.
Conforme observado em campanhas anteriores, as vítimas são atraídas por mensagens falsas de recrutadores e levadas a abrir um PDF malicioso ou a instalar um visualizador de PDF trojanizado, que é então usado para instalar um novo backdoor chamado Troy, que concede acesso remoto à máquina comprometida. O objetivo final dessas intrusões é assumir o controle total dos computadores infectados e contornar os controles de segurança.
O uso de um visualizador de PDF trojanizado é uma tática testada e comprovada adotada pelo Grupo Lazarus em conjunto com o Dream Job, com os atores da ameaça abusando desse método já em 2022.
Duas sequências de infecção paralelas diferentes foram detectadas como parte dos ataques mais recentes -
Carregamento lateral de DLL, no qual as vítimas são instruídas a baixar um arquivo criptografado que é usado para acionar uma cadeia de carregamento lateral de DLL. A DLL maliciosa ("libmupdf.dll") é usada para exibir uma isca de descrição de trabalho falsa, enquanto baixa furtivamente e executa na memória um downloader leve chamado MISTPEN. O downloader se comunica com a infraestrutura controlada pelo agente da ameaça usando a API Microsoft Graph e o OneDrive para recuperar e executar módulos de reconhecimento e persistência e acionar a exploração do driver "AFD.sys", antes de implantar o ForestTiger (também conhecido como ScoringMathTea), que fornece acesso remoto ao host.
Visualizador de PDF "SecurityPDF" trojanizado, no qual as vítimas são instruídas a baixar o SecurityPDF de um site que se faz passar pelo Enveil. Uma vez instalado, ele monitora qualquer documento PDF aberto por meio dele em busca de um marcador especial ("Este documento está criptografado com o leitor sumatrapdf!!!!!!!!!!!!"). Se tal marcador estiver presente, o aplicativo descriptografa e inicia uma carga incorporada que é responsável por carregar um backdoor chamado Troy diretamente na memória. O implante DLL suporta 17 comandos de operador para facilitar a enumeração de arquivos, upload e download, arquivamento e exfiltração, acesso interativo ao shell, encerramento de processos, injeção de DLL na memória e atualizações de configuração.
Visão geral de alto nível da cadeia de infecção de carregamento lateral de DLL.
O MISTPEN, por sua vez, carrega pelo menos quatro módulos diferentes -
GetInfoPlugin ("Release_GetInfoPlugin_x64.dll"), para criar o perfil do host e exfiltrar as informações coletadas como uma única sequência de caracteres largos
PvPlugin ("Release_PvPlugin_x64.dll"), para coletar dados de reconhecimento do host e detalhes sobre processos em execução
OneScreenCapture ("OneScreenCapture64.dll"), para fazer capturas de tela da área de trabalho atual, incluindo todos os monitores, e transmiti-las como imagens JPEG
Carregador LPE (escalonamento de privilégio local), que coleta informações do host, gera novo material de chave usando o algoritmo de encapsulamento de chave pós-quântica ML-KEM e usa a chave negociada durante o processo de handshake para descriptografar e executar o FudModule.
A cadeia de ataque emprega uma versão atualizada do conhecido rootkit de modo kernel que o Grupo Lazarus tem empregado repetidamente desde pelo menos 2022 para ocultar a presença de ferramentas maliciosas do software de segurança instalado no host.
Um dos sites com alta classificação nos resultados de pesquisas para "Enveil SecurityPDF"
Especificamente, ele explora uma vulnerabilidade de escalonamento de privilégios locais em “AFD.sys”, obtém privilégios de SYSTEM e, por fim, injeta outra instância de MISTPEN em um processo de SYSTEM para permitir que ele seja executado com privilégios elevados e longe dos olhos das ferramentas de segurança. A versão mais recente, chamada FudModule 3.1, melhora seu antecessor, permitindo que ele altere um recurso do Windows chamado Smart App Control, projetado para verificar se um programa é seguro para execução.
“Dentro do processo filho msiexec.exe de nível SYSTEM, seu stub remoto define VerifiedAndReputablePolicyState como zero e invoca a classe NtSetSystemInformation 0xA4 com a opção 0x10000000, acionando uma recarga no local da política de integridade de código”, disse Check Point.
Além do mais, diz-se que os atacantes têm
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #lazarus #explora #o #windows #zeroday #para #obter #acesso #ao #sistema #e #implantar #backdoor
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário