Lazarus, Windows AFD.sys sıfırıncı gününü savunma şirketlerine karşı kullandı

Microsoft'un Ağustos 2026 güncellemeleriyle kapattığı Windows sıfırıncı gün açığı CVE-2026-68820'nin arka planı netleşti. Check Point araştırmacılarına göre Kuzey Kore bağlantılı Lazarus grubu, Windows Ancillary Function Driver for WinSock (AFD.sys) sürücüsündeki bu use-after-free hatasını Temmuz 2026 başından bu yana saldırılarında kullanıyordu.

Sahte iş teklifleriyle savunma sektörü

Saldırılar, Lazarus'un uzun süredir yürüttüğü ve sahte işe alım teklifleriyle hedefe yaklaştığı Operation Dream Job kampanyasının parçası. Check Point'e göre hedefler Avrupa ve Hindistan'daki savunma, havacılık ve uzay kuruluşları; özellikle gözetim sensörleri, insansız hava araçları ve robotik gibi askeri teknolojiler ilgi odağında. Etkinliğin Brezilya dahil Güney Amerika'ya uzandığı, Fransa ve Almanya'da başarılı hedeflemeler yaşandığı belirtiliyor. En az bir vakada Fransa'daki bir kuruluş ele geçirilerek diğer hedeflere hedefli oltalama göndermek için kullanıldı.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Kullanılan araçlar

• FudModule: Lazarus'un çekirdek düzeyi rootkit'inin yeni sürümü, CVE-2026-68820 ile SYSTEM yetkisi elde ediyor; EDR telemetrisini devre dışı bırakıyor, güvenlik ürünlerine müdahale ediyor ve Smart App Control ayarlarını kurcalıyor.
• Troy: 17 komut destekleyen yeni bir arka kapı; keşif, dosya aktarımı ve sızdırma, gizli komut çalıştırma ve bellek içi DLL enjeksiyonu yapabiliyor.
• RelayShell: Ele geçirilmiş Roundcube e-posta sunucularına yerleştirilen bir PHP web shell. Check Point en az 17 enfekte sunucu tespit etti. Saldırganların muhtemelen sızdırılmış kimlik bilgileriyle oturum açıp kimlik doğrulamalı Roundcube açığı CVE-2025-49113'ü kullandığı değerlendiriliyor.

Check Point'in gözlemlediği istismar kodu Windows 11'in 26100 ve 26200 derlemelerini destekliyordu.

Ne yapılmalı?

• Ağustos 2026 Windows güncellemelerini tüm Windows 11 sistemlere ivedilikle uygulayın.
• Roundcube sunucularını güncelleyin, parolaları sıfırlayın ve web dizinlerinde bilinmeyen PHP dosyalarını arayın.
• İşe alım temalı e-postalar ve mesajlaşma uygulamalarından gelen dosyalar konusunda özellikle mühendislik ekiplerini uyarın.
• Check Point'in yayımladığı göstergeleri (IoC) ve RelayShell için YARA kuralını tehdit avı süreçlerinize ekleyin.