LONDON (IT BOLTWISE) – Laut Check Point Research sollen nordkoreanische Angreifer über ein gefälschtes Jobangebot Schadcode eingeschleust und dabei eine Sicherheitssoftware über eine Windows-Lücke deaktiviert haben. Das Jobangebot kam als verschlüsseltes ZIP mit PDF-Betrachter und Stellenbeschreibung im Namen von Lockheed Martin. Danach nutzten die Angreifer eine bislang unbekannte Schwachstelle im Windows-Treiber AFD.sys, um Systemrechte zu erlangen und ein Rootkit mit neuer Variante zu starten. Für Administratoren entsteht dadurch eine besondere Erkennungsfrage: Wie reagiert man, wenn die Warnkomponente bereits ausgeschaltet ist?
Das Muster wirkt auf den ersten Blick banal: Ein verschlüsseltes ZIP-Archiv landet beim Empfänger, darin befinden sich ein PDF-Betrachter sowie eine Stellenbeschreibung. Öffnet jemand die Datei, sieht er ein Dokument – und holt sich gleichzeitig den Schadcode auf den Rechner. Laut den Angaben von Check Point Research haben die Angreifer diese Masche seit Anfang 2026 gegen Unternehmen aus Rüstung sowie Luft- und Raumfahrt eingesetzt und dabei den Erfolg auch in Frankreich und Deutschland verzeichnet. Besonders brisant ist dabei weniger die Social-Engineering-Komponente als die technische Kette dahinter, weil sie direkt in die Schutzlogik des Endpunkts eingreift.
Technisch setzen die Angreifer auf eine zweite Phase, die erst nach der Erstinfektion greift: Spätestens ab Anfang Juli sollen sie eine bis dahin unbekannte Lücke im Windows-Treiber AFD.sys ausgenutzt haben. AFD steht im Kern für die Windows-Funktionalität rund um Netzwerkkommunikation; Angreifer, die in diesem Bereich Rechte ausweiten können, gewinnen damit typischerweise einen Hebel, um weit über den Kontext eines einzelnen Prozesses hinauszugehen. Aus dem Zugriff in den Kernel bzw. in privilegierte Bereiche heraus sollen sie Systemrechte erlangt haben und anschließend eine neue Version ihres Rootkits mit dem Namen Fudmodule nachgeladen bzw. gestartet haben. Der entscheidende Effekt für Admins: Die Endpunkt-Erkennung, also genau die Komponente, die normalerweise Artefakte und Verhaltensmuster blockt oder zumindest sichtbar macht, wird dabei gezielt aus dem Betrieb genommen.
Damit ändert sich auch der Blick auf die Incident-Analyse. Wenn die Schutzsoftware bereits deaktiviert oder funktional ausgebremst wurde, wirkt der klassische Alarm-Workflow ins Leere: Man sieht dann möglicherweise keine Warnung, weil die Sensorik selbst nicht mehr zuverlässig arbeitet. In der beschriebenen Variante kommt hinzu, dass Microsoft die Lücke CVE-2026-68820 am Patchday im August geschlossen hat und sie mit 7,0 Punkten auf Basis von CVSS 3.1 sowie der Einstufung Important bewertet hat. Nach dem reinen Punktwert würde ein solcher Eintrag im Patchplan oft eher im Mittelfeld landen; der Kontext aus der Attacke macht aber klar, warum die Priorität in der Praxis dennoch deutlich höher sein kann – denn dieselbe Schwachstelle kann aus einer üblichen Infektion eine unsichtbarere und länger persistierende Kompromittierung machen.
Für Teams, die Windows-Bestände verwalten, verschiebt sich der Fokus damit weg von der reinen Schwachstellen-Tabelle hin zu der Frage, ob der Schutzpfad insgesamt intakt ist. Entscheidend ist weniger, ob ein einzelner Prozess verdächtig wirkt, sondern ob die Endpunkt-Erkennung und ihre zugrunde liegende Integrität verfügbar ist: Läuft die Schutzkomponente, werden Telemetriedaten korrekt an einen Management-Backend übermittelt, und lassen sich typische Indikatoren für Manipulation finden? In solchen Fällen hilft oft ein zweigleisiges Vorgehen: Erstens prüfen Administratoren, ob CVE-2026-68820 in allen relevanten Systemen wirklich gepatcht wurde (inklusive der passenden Treiberpfade und Build-Varianten). Zweitens untersuchen sie den Zeitraum rund um die potenzielle Erstinfektion, also die Phase, in der das ZIP-Archiv entpackt und der PDF-Teil geöffnet wurde, um Muster wie ungewöhnliche Prozessketten, auffällige Speicher- oder Treiberaktivität und das spätere Auftreten von Kernel-Nähe zu finden.
Ein weiterer Praxisaspekt: Die Story zeigt, wie eng Angreifer Social-Engineering und Exploit-Kette verzahnen. Das gefälschte Jobangebot soll im Namen von Lockheed Martin auftreten – ein glaubwürdiger Kontext, der in Rüstungs- und Luftfahrtumgebungen besonders gut funktioniert. Laut Check Point Research soll diese Zielausrichtung Teil des Vorgehens gewesen sein. Für IT-Sicherheitsteams ist das ein Hinweis, dass man selbst bei „typischen“ E-Mail-Angriffen nicht nur auf Dokumenten-Risiken achten darf, sondern auch auf die nachgelagerte Systemebene: Wenn später ein Rootkit-ähnlicher Eingriff möglich wird, reicht Malware-Erkennung allein oft nicht aus.
Aus Marktsicht passt die Entwicklung in eine breitere Linie: Während Endpoint-Protection-Produkte in vielen Organisationen als letzte Verteidigungslinie gelten, sind sie zugleich ein attraktives Ziel, weil sie über Sensorik und Reaktionsmechanismen sehr mächtig sind. Angreifer versuchen deshalb, diese Fähigkeit zu neutralisieren, bevor Forensik und Blockierung greifen. Microsofts Bewertung mit 7,0 Punkten zeigt dabei auch den Unterschied zwischen Labor-/Einzelschwachstellen-Sicht und realem Angriffsimpact: Ein Exploit, der Systemrechte ermöglicht und anschließend Erkennung abschaltet, kann die operative Wirkung deutlich über das hinaus tragen, was die CVSS-Metrik allein vermutet. Für Unternehmen heißt das: Patchen bleibt Pflicht, aber es braucht zusätzlich belastbare Betriebs- und Telemetrieprüfungen, damit „keine Alarme“ nicht automatisch „keine Kompromittierung“ bedeutet.
Am Ende läuft die Konsequenz auf eine klare Leitlinie für Administratoren hinaus: Man sollte die Wirksamkeit der eigenen Schutzkette kontinuierlich verifizieren, statt sich ausschließlich auf Ereignisse aus der Erkennung zu verlassen. Konkret bedeutet das, dass Incident-Responder auch ohne Endpoint-Alarme Anzeichen für Treiber- und Privilegieneskalation verfolgen sollten – gerade in zeitlicher Nähe zu unbestätigten Dateianfragen wie ZIP-Downloads mit scheinbar harmlosen Dokumenten. Wenn Fudmodule tatsächlich die Erkennung ausschaltet, wird jede Verzögerung beim Patch- und Hunt-Tempo zu einem Vorteil für den Angreifer. Die Verteidigung muss daher sowohl aus dem Sauberwerden der Systeme (CVE-Schließung) als auch aus einem „Assurance“-Gedanken für die Erkennungsfähigkeit bestehen – damit der Schutz nicht nur vorhanden ist, sondern im Ernstfall auch beobachtet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows-Kernel unter Druck: Falsches Jobangebot schaltet Schutzsoftware aus" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows-Kernel unter Druck: Falsches Jobangebot schaltet Schutzsoftware aus" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows-Kernel unter Druck: Falsches Jobangebot schaltet Schutzsoftware aus« bei Google Deutschland suchen, bei Bing oder Google News!