Hacker Lazarus Eksploit Zero-Day Windows untuk Menargetkan Perusahaan Pertahanan
Kelompok hacker asal Korea Utara yang dikenal sebagai Lazarus diketahui mengeksploitasi zero-day pada Windows untuk menargetkan perusahaan di sektor pertahanan dalam kampanye Operation Dream Job.
Kerentanan yang dilacak sebagai CVE-2026-68820 tersebut telah diperbaiki Microsoft melalui pembaruan keamanan Patch Tuesday Agustus 2026. Microsoft juga menandainya sebagai kerentanan yang telah dieksploitasi secara aktif di dunia nyata.
Peneliti menemukan bahwa Lazarus telah memanfaatkan celah tersebut sejak awal Juli untuk meningkatkan hak akses pada sistem Windows yang menjadi target.
Zero-Day AFD.sys Memberikan SYSTEM Privileges
Microsoft menjelaskan bahwa CVE-2026-68820 merupakan kerentanan use-after-free pada Ancillary Function Driver for WinSock (AFD.sys), komponen Windows yang berkaitan dengan fungsi jaringan.
Kerentanan tersebut memungkinkan attacker meningkatkan hak akses lokal pada sistem yang terdampak.
Eksploitasi dapat dilakukan oleh pengguna yang telah terautentikasi secara lokal dengan menjalankan aplikasi yang telah dirancang secara khusus. Melalui race condition yang dipicu dalam proses eksploitasi, attacker dapat memperoleh SYSTEM privileges tanpa memerlukan interaksi pengguna.
Kemampuan memperoleh hak akses SYSTEM sangat berharga bagi kelompok seperti Lazarus karena memungkinkan mereka menjalankan proses berprivilege tinggi dan memasang komponen malware tambahan sambil berusaha menghindari deteksi perangkat keamanan.
Operation Dream Job Kembali Menargetkan Industri Pertahanan
Eksploitasi CVE-2026-68820 ditemukan dalam gelombang terbaru Operation Dream Job, kampanye Lazarus yang telah berlangsung selama bertahun-tahun dan menggunakan tawaran pekerjaan palsu sebagai sarana awal untuk menyerang target.
Dalam kampanye terbaru, kelompok tersebut menargetkan organisasi di sektor pertahanan, aerospace, dan penerbangan, khususnya di Eropa dan India.
Serangan menggunakan pendekatan social engineering dengan menawarkan posisi pekerjaan atau proses rekrutmen palsu kepada karyawan perusahaan yang menjadi target.
Dalam salah satu kasus, Lazarus berhasil mengkompromikan sebuah organisasi di Prancis. Infrastruktur organisasi tersebut kemudian dimanfaatkan untuk melancarkan spear-phishing terhadap target lainnya.
Peneliti Check Point yang menganalisis varian terbaru Operation Dream Job menemukan bahwa Lazarus telah memasukkan exploit CVE-2026-68820 ke dalam versi baru FudModule, sebuah kernel-mode rootkit yang digunakan untuk meningkatkan hak akses pada sistem.
Exploit tersebut secara khusus mendukung Windows 11 build 26100 dan 26200.
FudModule Digunakan untuk Menghindari Deteksi
FudModule bukan komponen baru dalam operasi Lazarus.
Kelompok tersebut sebelumnya juga diketahui mengeksploitasi zero-day pada AFD.sys untuk meningkatkan hak akses dan memasang rootkit yang sama pada sistem target.
Versi terbaru FudModule mempertahankan berbagai kemampuan yang telah ditemukan pada varian sebelumnya, termasuk kemampuan untuk mengganggu produk keamanan dan menonaktifkan telemetry dari Endpoint Detection and Response (EDR).
Namun, versi terbaru juga menambahkan kemampuan untuk melakukan tampering terhadap Smart App Control.
Dengan kombinasi exploit zero-day dan kernel-mode rootkit, attacker dapat memperoleh akses berprivilege tinggi sekaligus berusaha mengurangi visibilitas aktivitas mereka di sistem.
Lazarus Gunakan Backdoor Baru Bernama Troy
Selain FudModule, peneliti juga menemukan backdoor baru bernama Troy yang digunakan dalam operasi tersebut.
Backdoor ini mendukung setidaknya 17 perintah, memberikan attacker kemampuan untuk melakukan berbagai aktivitas setelah berhasil memperoleh akses ke sistem.
Kemampuan Troy mencakup reconnaissance terhadap sistem dan proses yang sedang berjalan, serta operasi terhadap file seperti upload, download, penghapusan, dan exfiltration menggunakan archive.
Malware tersebut juga dapat menjalankan perintah secara tersembunyi, menghentikan proses dari jarak jauh, melakukan in-memory DLL injection, serta mengubah konfigurasi dan interval komunikasi beacon.
Kombinasi kemampuan tersebut memungkinkan attacker mempertahankan akses sekaligus melakukan pengumpulan informasi dan pencurian data dari lingkungan yang telah dikompromikan.
Roundcube Juga Menjadi Bagian dari Rantai Serangan
Operation Dream Job terbaru tidak hanya mengandalkan eksploitasi Windows.
Peneliti menemukan aktivitas scanning terhadap instalasi Roundcube yang rentan. Beberapa sistem yang ditemukan kemudian dikompromikan menggunakan web shell PHP baru bernama RelayShell.
Dalam skenario tersebut, attacker diduga menggunakan kredensial yang telah bocor untuk melakukan autentikasi ke Roundcube.
Setelah mendapatkan akses, mereka mengeksploitasi CVE-2025-49113, yaitu kerentanan authenticated PHP object-deserialization yang dapat digunakan untuk memperoleh remote code execution.
RelayShell kemudian digunakan sebagai salah satu komponen untuk menjalankan aktivitas setelah server berhasil dikompromikan.
Peneliti telah mengidentifikasi setidaknya 17 server yang terinfeksi RelayShell berdasarkan jumlah identifier yang ditemukan selama investigasi.
Infrastruktur yang Dikompromikan Digunakan untuk Menyembunyikan Komunikasi
Penggunaan server Roundcube yang telah dikompromikan memberikan keuntungan bagi attacker dari sisi stealth.
Alih-alih selalu berkomunikasi langsung dengan infrastruktur berbahaya yang mudah dikaitkan dengan kelompok hacker, Lazarus dapat memanfaatkan infrastruktur web yang sah tetapi telah mereka kompromikan.
Teknik tersebut memungkinkan komunikasi berbahaya disamarkan melalui layanan yang secara normal terlihat seperti bagian dari aktivitas web biasa.
Menurut peneliti, pendekatan ini menunjukkan bahwa operasi Lazarus semakin beradaptasi terhadap lingkungan target dan berusaha mengurangi kemungkinan aktivitas mereka terdeteksi.
Target Utama Berada di Sektor Teknologi Militer
Gelombang terbaru Operation Dream Job memiliki fokus kuat terhadap industri pertahanan.
Organisasi yang berkaitan dengan teknologi militer, termasuk surveillance sensors, drones, dan robotics, menjadi sasaran utama.
Kampanye tersebut memiliki jangkauan global dengan aktivitas yang juga terdeteksi di Amerika Selatan, termasuk Brasil, sementara keberhasilan serangan ditemukan di Eropa Barat, termasuk Prancis dan Jerman.
Fokus terhadap sektor pertahanan membuat kampanye ini berpotensi memberikan keuntungan strategis bagi operator Lazarus, terutama ketika akses terhadap perusahaan teknologi dapat membuka jalan menuju informasi mengenai sistem, perangkat, maupun pengembangan teknologi militer.
Lazarus Semakin Mengandalkan Serangan Berlapis
Rangkaian serangan terbaru menunjukkan bagaimana Lazarus menggabungkan beberapa teknik dalam satu operasi.
Serangan dapat dimulai melalui fake job offers dan social engineering, dilanjutkan dengan eksploitasi zero-day untuk meningkatkan hak akses, penggunaan kernel-mode rootkit untuk menghindari deteksi, hingga pemasangan backdoor untuk mempertahankan akses.
Pada sisi lain, server web yang telah dikompromikan seperti Roundcube juga dapat digunakan sebagai bagian dari infrastruktur pendukung untuk menyamarkan komunikasi.
Dengan CVE-2026-68820 kini telah diperbaiki Microsoft, organisasi yang menggunakan Windows 11 build terdampak perlu segera menerapkan pembaruan keamanan Agustus 2026.
Perusahaan di sektor pertahanan dan industri strategis juga perlu memberikan perhatian khusus terhadap serangan berbasis tawaran pekerjaan palsu, terutama apabila proses rekrutmen mengharuskan calon karyawan mengunduh software, menjalankan aplikasi tertentu, atau mengakses infrastruktur yang tidak biasa.
Sumber: Check Point Research
