Pohjois-Koreaan liitetty Lazarus-hakkeriryhmä on käyttänyt aiemmin tuntematonta Windows-haavoittuvuutta hyökkäyksissä puolustus- ja ilmailuteollisuutta vastaan. Check Point Researchin löytämä nollapäivä mahdollisti hyökkääjälle käytännössä Windows-koneen täydellisen hallinnan.
Haavoittuvuus on tunnuksella CVE-2026-68820 ja se sijaitsee Windowsin verkkoyhteyksistä vastaavassa AFD.sys-komponentissa. Check Pointin mukaan hyökkääjä pystyi aukon avulla nostamaan jo koneelle päässeen haittaohjelman oikeudet SYSTEM-tasolle ja samalla vaikeuttamaan hyökkäyksen havaitsemista.
Check Point ilmoitti haavoittuvuudesta Microsoftille 28. heinäkuuta. Microsoft vahvisti löydön kolme päivää myöhemmin, antoi sille CVE-tunnuksen 5. elokuuta ja julkaisi korjauksen 11. elokuuta osana Patch Tuesday -tietoturvapäivityksiä.
Lazaruksen Operation Dream Job -kampanjassa hyökkäys alkoi houkuttelevasta työpaikkatarjouksesta. Kohteina olivat erityisesti puolustus-, ilmailu- ja avaruusalan ammattilaiset Euroopassa ja Intiassa. Hyökkääjät esiintyivät rekrytoijina muun muassa LinkedInissä ja viestisovelluksissa ja ohjasivat uhrit lataamaan haitallista sisältöä.
Ansoista tehtiin poikkeuksellisen uskottavia. Hyökkääjät käyttivät esimerkiksi Lockheed Martinin nimissä tehtyjä työpaikkakuvauksia ja rakensivat Enveil-tietoturvayhtiötä jäljitteleviä verkkosivustoja. Check Pointin mukaan osa valesivustoista oli hakukoneoptimoitu niin tehokkaasti, että ne nousivat Googlen hakutulosten kärkeen.
Yhdessä hyökkäysketjussa uhri houkuteltiin asentamaan SecurityPDF-niminen troijalainen PDF-lukija. Se pystyi lataamaan koneen muistiin uuden Troy-takaoven. Troy tukee 17 komentoa, joilla hyökkääjä voi muun muassa käsitellä ja varastaa tiedostoja, suorittaa komentoja sekä injektoida DLL-koodia prosesseihin.
Nollapäivää hyödynsi lisäksi FudModule-rootkit, jonka tarkoituksena oli piilottaa hyökkääjän toiminta tietoturvaohjelmistoilta ja estää tapahtumien kirjaamista. Check Pointin mukaan uusi versio pystyi myös manipuloimaan Windowsin mekanismia, jolla tarkistetaan käynnissä olevan ohjelmiston luotettavuutta.
Kampanjasta on havaittu toimintaa muun muassa Ranskassa, Saksassa, Brasiliassa ja Intiassa. Check Point kehottaa asentamaan Microsoftin elokuun tietoturvapäivityksen mahdollisimman nopeasti.
Tekoälypalvelinten kasvava tehotiheys tekee datakeskusten varmistamisesta aiempaa monimutkaisempaa. Ylimääräiset teholähteet voivat parantaa käyttövarmuutta, mutta samalla ne lisäävät lämpökuormaa ja häiritsevät ilmavirtoja. Siksi tehonsyöttö, varmennus ja jäähdytys on suunniteltava yhtenä kokonaisuutena.