DEUTSCHLAND / LONDON (IT BOLTWISE) – Die Lazarus-Gruppe soll eine neue Angriffswelle fahren, bei der ein bisher unbekannter Windows-Fehler als Einstieg dient. Im Zentrum steht die Zero-Day-Schwachstelle CVE-2026-68820 im Treiber AFD.sys, die laut Analyse eine Privileg-Eskalation ermöglicht. Zusätzlich kommen teilautonome KI-Mechanismen zum Einsatz, um Ziele zu infiltrieren und Gegenmaßnahmen zu umgehen. Microsoft hat dafür am 11.08.2026 einen Patch bereitgestellt, während Experten die Kampagne auch mit „Operation Dream Job“ verknüpfen.
Für IT-Teams ist die aktuelle Einordnung der Lazarus-Gruppe besonders brisant, weil gleich mehrere Abstraktionsebenen des Angriffs zusammenkommen: ein neu gemeldeter Windows-Fehler, ein klares Kampagnenmuster und Techniken, die das Detektieren im Betrieb erschweren sollen. Laut der dokumentierten Analyse zielte die Gruppe auf Unternehmen aus Bereichen wie Verteidigung sowie Luft- und Raumfahrt. Betroffen genannt werden dabei u. a. Länder wie Deutschland, Frankreich, Indien und Brasilien – also Regionen, in denen IT-Umgebungen typischerweise streng segmentiert sind, aber dennoch häufig komplexe Toolchains und Zulieferprozesse besitzen.
Der Einstieg wird mit einer bisher unbekannten Zero-Day-Lücke im Windows-Betriebssystem beschrieben: CVE-2026-68820. Technisch geht es um einen Use-after-free-Fehler im Treiber AFD.sys, der im Schadkontext genutzt werden kann, um Rechte im System nach oben zu eskalieren. Dass diese Schwachstelle zum Patch-Zeitpunkt bereits aktiv ausgenutzt wurde, ist ein zentraler Punkt, weil er den Zeitraum zwischen Eindringen und späterer Eindämmung dramatisch verkürzt: Wer nicht zeitnah aktualisiert, läuft Gefahr, dass nachfolgende Schritte nicht nur Datenzugriffe, sondern auch Persistenz und laterale Bewegung ermöglichen.
Damit erklärt sich auch, warum die Angriffe in der „Operation Dream Job“-Kampagne eingeordnet werden. In diesem Muster treten Angreifer mit gefälschten Stellenangeboten an Mitarbeitende der Zielorganisation heran und schaffen so einen plausiblen Weg zu schädlichen Komponenten. Zwei Infektionspfade werden dabei unterschieden: Unter anderem wird DLL-Sideloading eingesetzt, wobei die Schadsoftware MISTPEN zum Einsatz kommen soll. Daneben wird ein manipuliertes PDF-Dokument mit einem als SecurityPDF bezeichneten PDF-Betrachter genannt, der anschließend eine Troy-Backdoor installiert und diese über ein Funktionsspektrum von 17 Befehlen für die Steuerung infizierter Systeme nutzbar macht.
Auch der „KI-Anteil“ ist hier nicht nur als Schlagwort zu verstehen, sondern als Baustein innerhalb der Angriffsplanung: Der Analyse zufolge arbeitet die Gruppe mit teilautonomen KI-Angriffen, um Ziele gezielt auszuwählen und den Ablauf zu optimieren. Entscheidend für die Praxis ist allerdings die technische Ausprägung der Spurenverwischung: Hervorgehoben wird der erstmalige Einsatz von Post-Quantum-Verschlüsselungsverfahren für die Kommunikation mit Kontrollservern. Für den Schlüsselaustausch werden Kyber bzw. ML-KEM genannt. Zusätzlich soll eine Relay-Infrastruktur genutzt worden sein, die aus 17 kompromittierten Roundcube-Servern bestand, um die Rückverfolgung zu erschweren.
Für Incident-Response-Teams folgt daraus eine doppelte Aufgabe: erstens die schnelle Windows-Patch-Strategie, zweitens die Überprüfung der beobachteten Komponenten in der Kette. Microsoft reagiert mit einem umfangreichen Updatepaket für August 2026; für CVE-2026-68820 wurde der Patch am 11.08.2026 veröffentlicht. Im selben Paket werden insgesamt 400 Sicherheitslücken geschlossen, davon 42 als kritisch eingestuft. Ergänzend werden als weitere Zero-Days CVE-2026-62832 (Benutzerprofildienst) und CVE-2026-72971 (Container-Isolierung) genannt – ein Hinweis darauf, dass die Angriffslandschaft nicht nur klassische Client-Parameter betrifft, sondern auch produktionsnahe Umgebungen und Orchestrierungsbereiche.
Technisch wird die Eindringtiefe zusätzlich über das eingesetzte FudModule-Rootkit beschrieben (Version 3.1). Dieses soll in der Lage sein, 94 verschiedene ETW-Provider (Event Tracing for Windows) zu überwachen, wodurch Überwachungs- und Erkennungsmechanismen gezielt unterlaufen werden können. In der Praxis bedeutet das: Selbst gut konfigurierte Telemetrie kann bei solchen Manipulationsversuchen „stumm“ werden, weil die Signale nicht nur fehlen, sondern aktiv beeinflusst werden. Parallel wird erwähnt, dass eine Sicherheitslücke mit der Kennung CVE-2025-49113 ausgenutzt wurde, was nahelegt, dass die Angreifer nicht nur auf ein einzelnes Ass im Ärmel setzen.
Abgerundet wird die Lage durch das allgemeine Muster steigender Angriffsintensität auf Firmendaten. In der Meldung ist zudem ein unbestätigter Datenabfluss in Höhe von 110 GB beim Hotel Gran Caribe erwähnt; bei solchen Größenordnungen ist in der Regel besonders wichtig, wie belastbar die Artefakte für die Exfiltrationsnachweise sind. Die Gesamtzahl der im August behobenen Schwachstellen unterstreicht jedenfalls den Druck auf die Update- und Validierungsprozesse: Es werden u. a. 176 Möglichkeiten zur Rechteausweitung, 110 Schwachstellen für Remote Code Execution (RCE) sowie 86 Informationslecks adressiert. Dazu kommen Kategorien wie Spoofing (21), Denial-of-Service (12) und das Umgehen von Sicherheitsfunktionen (11). Für Unternehmen heißt das konkret: Patchen allein reicht selten; erst die Kombination aus Systemhärtung, Prüfung auf betroffene Angriffswege und nachvollziehbarer Monitoring-Strategie macht die Reaktion belastbar.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Lazarus nutzt Windows-Zero-Day und KI-gestützte Angriffe auf Unternehmen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Lazarus nutzt Windows-Zero-Day und KI-gestützte Angriffe auf Unternehmen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Lazarus nutzt Windows-Zero-Day und KI-gestützte Angriffe auf Unternehmen« bei Google Deutschland suchen, bei Bing oder Google News!