LONDON (IT BOLTWISE) – Eine neue Variante der Operation Dream Job nutzt einen Windows-Zero-Day (CVE-2026-68820), um Angreifer zu SYSTEM-Rechten zu bringen. Microsoft hat den Fehler in den Patch-Tuesday-Updates dieses Monats behoben und beschreibt ihn als Use-after-free im AFD.sys-Treiber. Die Angriffe richten sich dabei offenbar besonders gegen Organisationen aus Verteidigung, Luft- und Raumfahrt sowie Aviation in Europa. Zusätzlich werden kompromittierte Roundcube-Server mit einer PHP-Webshell missbraucht, um weitere Ziele überreichweitig zu kompromittieren.
Die aktuellen Angriffe, die unter der Kampagnenbezeichnung „Operation Dream Job“ laufen, zeigen einmal mehr, wie schnell ein Windows-Zero-Day aus dem Laborstatus in den echten Zielkontext wechselt. Im Zentrum steht diesmal die Schwachstelle CVE-2026-68820, die Microsoft in seinen Sicherheitsupdates dieses Monats adressiert hat und als aktiv ausgenutzt „in the wild“ einordnet. Laut den zugrunde liegenden Analysen nutzt das Szenario den betroffenen Windows-Treiber Windows Ancillary Function Driver for WinSock (AFD.sys), um die Rechte des Angreifers massiv zu erhöhen – und zwar nicht über einen klassischen Exploit nach „einmal Code ausführen“, sondern über einen Speicherfehler mit Race-Condition.
Technisch beschreibt Microsoft die Schwachstelle als Use-after-free in AFD.sys. Praktisch heißt das: Ein Angreifer kann einen lokal authentifizierten Nutzer dazu bringen, eine speziell präparierte Anwendung auszuführen, die den Zustand eines Treibers in einen inkonsistenten Bereich drängt. Dabei triggert die Anwendung laut Beschreibung eine Race-Condition, aus der heraus der Angreifer schließlich SYSTEM-Privilegien erhält – und zwar ohne dass der Nutzerinteraktionstyp den Angriffsablauf verändert (also ohne zusätzliche „aktive“ Nutzerhandlungen über die Ausführung des präparierten Programms hinaus). Für Verteidigungsorganisationen ist das besonders relevant, weil viele Umgebungen dort nicht nur Windows-Clients betreuen, sondern auch Serverlandschaften, die für industrielle Steuerung, Sensorik-Auswertung oder Kommunikationsinfrastruktur genutzt werden.
Inhaltlich ordnen die Forscher die Kampagne zudem in einen größeren Trend ein: Lazarus kombiniert die Zero-Day-Ausnutzung mit länger laufenden Strategien, bei denen Phishing- und Rekrutierungsversuche im Mittelpunkt stehen. „Operation Dream Job“ setzt nach den vorliegenden Befunden auf gefälschte Jobangebote, um Mitarbeiter in Zielorganisationen anzusprechen – in einer Welle, die insbesondere Verteidigung, Luft- und Raumfahrt sowie Aviation in Europa und Indien adressiert. In mindestens einem beobachteten Fall soll eine Organisation in Frankreich zunächst kompromittiert worden sein; anschließend wurden von dort aus Spear-Phishing-Angriffe auf weitere Ziele durchgeführt. Diese Kaskadierung ist ein typisches Muster für Kampagnen, die nicht nur Zugriff anstreben, sondern eine stabile Angriffsplattform aufbauen, um Kommunikationskanäle zu verschleiern.
Die Weiterentwicklung betrifft dabei nicht nur den initialen Exploit, sondern auch die Folgekomponenten. Berichten zufolge wurde in der neuesten Variante ein Kernel-Modus-Rootkit namens FudModule eingesetzt, wobei der Exploit für CVE-2026-68820 speziell für Windows-11-Builds 26100 und 26200 vorbereitet wurde. Die beschriebenen Fähigkeiten umfassen aus früheren Analysen bekannte Mechanismen, etwa das Deaktivieren von EDR-Telemetrie sowie das Stören von Sicherheitsprodukten. Zusätzlich wird eine Manipulation von Smart App Control als neue Komponente erwähnt. Damit geht die Kampagne einen Schritt Richtung „Security-Tool-Umgehung“: Nicht nur Systeme werden kompromittiert, sondern auch die Sichtbarkeit, mit der sich ein Incident in der Nachverfolgung rekonstruieren lässt.
Für die interne Steuerung und das weitere Vorgehen taucht außerdem ein neues Backdoor-Konzept namens Troy auf, das laut den Analysen 17 Befehle unterstützt. Dazu gehören System- und Prozess-Reconnaissance, Upload- und Download-Operationen sowie dateibasierte Exfiltration aus Archivstrukturen. Ebenso werden das Ausführen versteckter Kommandos, das Terminieren entfernter Prozesse und In-memory DLL Injection erwähnt. Daneben spielen Konfigurations- und Beacon-Timings eine Rolle, was im Kern bedeutet: Die Angreifer passen Kommunikation und Präsenz so an, dass Erkennungssysteme schwerer einen stabilen Fingerprint ableiten können. Ergänzend berichten die Forscher von Scans, die auf verwundbare Roundcube-Installationen abzielen; anschließend wurden Roundcube-Instanzen offenbar kompromittiert und mit einer neuen PHP-Webshell namens RelayShell versehen.
Der entscheidende organisatorische Hebel liegt damit in der Kette „Initial Access → Credentials → unbemerktes Vorankommen“. Ein Hinweis auf die Wirksamkeit der Abwehr kommt aus einer Art Technik-spezifischer Messung: Wenn Angreifer bereits über gültige Anmeldedaten verfügen, werden den vorliegenden Angaben zufolge nur 37 % der Aktionen blockiert. Genau diese Lücke zeigt sich oft, wenn Unternehmen zwar schnelle Patch- und Hardening-Erfolge feiern, aber später feststellen, dass nach dem ersten Einstieg die eigentliche Schadensausbreitung schwerer kontrollierbar wird. Für Teams in IT-Sicherheit und Betrieb bedeutet das konkret: CVE-2026-68820 gehört unmittelbar in Prioritätenpläne für Patch-Management, während die Roundcube-Fläche als zweite, separate Risikoquelle behandelt werden muss. Weil bei solchen Kampagnen zudem kompromittierte Web-Infrastruktur als Tarnschicht dient, reicht „einmaliges Aufräumen“ nach einem Incident selten aus; vielmehr braucht es eine durchgängige Überprüfung von Adminpfaden, Web-Endpunkten und detektionsrelevanten Telemetrieflüssen, damit aus der entfernten Persistenz kein längerfristiger Betrieb wird.
Was die Entwicklung über Lazarus hinaus signalisiert: Die Kombination aus Treiber-Zero-Day, Rootkit- und Backdoor-Funktionalität sowie missbrauchten legitimen Diensten passt in eine Industrie-Realität, in der Angriffe weniger wie Einzelvorfälle aussehen, sondern wie modulare Plattformen. In der Praxis verschiebt das die Priorität von „nur Exploit verhindern“ hin zu „Angriffskette konsequent entkoppeln“ – also Patchen, Segmentieren und Erkennen so verbinden, dass ein Schritt in der Kette nicht automatisch den nächsten ermöglicht. Für Betreiber von Verteidigungs- und Infrastruktur-Workloads heißt das außerdem, dass Sicherheitsarchitekturen nicht nur auf Signaturen und klassische IOC-Listen setzen dürfen, sondern auf belastbare, testbare Kontrollen, die auch bei bereits vorhandenen Berechtigungen greifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lazarus nutzt Windows-Zero-Day (CVE-2026-68820) für Privilegeskalation im Verteidigungssektor" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lazarus nutzt Windows-Zero-Day (CVE-2026-68820) für Privilegeskalation im Verteidigungssektor" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lazarus nutzt Windows-Zero-Day (CVE-2026-68820) für Privilegeskalation im Verteidigungssektor« bei Google Deutschland suchen, bei Bing oder Google News!