CVE-2026-68820 : comment Lazarus a glissé un zero-day dans afd.sys derrière une fausse offre d'emploi chez Enveil

Rapport CTI technique du 12 août 2026

Résumé exécutif

Microsoft a corrigé le 11 août 2026, dans le cadre de son Patch Tuesday mensuel, une vulnérabilité use-after-free dans afd.sys, le pilote noyau qui sert de dorsale à l'API Windows Sockets. Référencée CVE-2026-68820 et notée 7.0 sur l'échelle CVSS, c'est la seule faille de ce cycle de correctifs que Microsoft confirme avoir vu exploitée dans la nature. Check Point Research attribue cette exploitation au groupe Lazarus, dans une nouvelle vague de sa campagne Operation Dream Job qui cible depuis début 2026 le secteur de la défense, avec un accent particulier sur l'aérospatiale, l'aviation et les entreprises de défense en Europe et en Inde.

Le vecteur d'entrée reste la marque de fabrique de Lazarus : de fausses offres d'emploi, ici en usurpant l'identité d'Enveil, une société spécialisée dans les technologies de protection de la vie privée, combinées à des sites d'imitation et à l'empoisonnement SEO pour pousser un lecteur PDF trojanisé. Une fois la victime piégée, la chaîne d'infection déploie une nouvelle version du rootkit noyau FudModule en exploitant précisément CVE-2026-68820 pour obtenir les privilèges SYSTEM, avant d'installer la porte dérobée ForestTiger pour un accès de long terme. Pour un pentester ou un défenseur du secteur défense/aérospatial, ce cas illustre à quel point une simple élévation de privilèges locale, en apparence secondaire (accès local requis, complexité d'attaque élevée), devient critique dès qu'elle est chaînée à un vecteur d'ingénierie sociale ciblé et à un rootkit capable de désactiver les capteurs EDR.

Chronologie

Date	Événement
Début 2026	Check Point observe une nouvelle vague d'Operation Dream Job ciblant le secteur défense, aérospatial et aviation en Europe et en Inde
Juillet 2026	Une campagne partageant les caractéristiques d'Operation Dream Job distribue de fausses offres d'emploi usurpant Enveil, avec un lecteur PDF modifié (SecurityPDF)
Juillet 2026	Check Point identifie l'exploitation zero-day de CVE-2026-68820 dans afd.sys, liée au chargement d'une nouvelle version de FudModule
Avant le 11 août 2026	Check Point notifie Microsoft dans le cadre d'une divulgation responsable
11 août 2026	Microsoft publie le correctif de CVE-2026-68820 dans son Patch Tuesday d'août ; le Register et Check Point confirment l'exploitation par Lazarus

Fiche vulnérabilité (format fiche CTI)

CVE-2026-68820 | CVSS 7.0 (AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H, élévation de privilèges locale) | Ancillary Function Driver for WinSock (afd.sys), Windows 10, Windows 11, Windows Server 2012 à 2025 et leurs éditions Server Core

CVE-2026-68820 est une vulnérabilité use-after-free (CWE-416) dans afd.sys, le pilote en mode noyau qui implémente le backend de l'API Windows Sockets pour l'ensemble de la pile réseau Windows. Un attaquant disposant déjà d'un accès local authentifié peut exécuter une application spécialement conçue pour déclencher une condition de concurrence (race condition) dans la gestion des objets socket par le pilote. En gagnant cette course, l'attaquant force le noyau à réutiliser une structure mémoire déjà libérée, ce qui ouvre la voie à une corruption de mémoire contrôlée et, in fine, à une exécution de code en mode noyau.

Conditions d'exploitation : accès local avec privilèges faibles (PR:L), complexité d'attaque élevée (AC:H) du fait de la fenêtre de course à synchroniser, aucune interaction utilisateur requise une fois le code de l'attaquant en exécution locale. Dans la chaîne observée par Check Point, cette primitive n'est pas le vecteur d'entrée : elle intervient après un accès initial obtenu par ingénierie sociale, pour faire sauter la barrière entre l'exécution utilisateur standard obtenue via la porte dérobée et les privilèges SYSTEM nécessaires au chargement du rootkit FudModule. PoC disponible : non, aucun code d'exploitation public n'a été identifié à ce jour ; l'exploit connu circule uniquement sous forme d'artefact intégré au module MISTPEN de Lazarus. Patch/mitigation : corrigé par Microsoft dans le cumulatif du 11 août 2026 (Patch Tuesday), à appliquer sans délai sur l'ensemble du parc Windows, y compris les serveurs Server Core souvent oubliés des cycles de patch parce que dépourvus d'interface graphique.

Diagramme de la chaîne d'attaque

Chaîne reconstruite à partir des rapports Check Point Research et Bleeping Computer référencés en sources.

Analyse technique

Étape 1 : accès initial par ingénierie sociale ciblée

Lazarus recrute ses victimes avec de fausses offres d'emploi usurpant l'identité d'Enveil, une société réelle spécialisée dans les technologies de protection de la vie privée (Privacy Enhancing Technology), un choix cohérent avec le profil des employés du secteur défense visés. La diffusion combine spear-phishing direct, sites web d'imitation et empoisonnement de moteurs de recherche (SEO poisoning) pour faire remonter les faux portails de recrutement dans les résultats de recherche des candidats ciblés.

Étape 2 : livraison via un lecteur PDF trojanisé

La victime est invitée à consulter un document lié à l'offre d'emploi via SecurityPDF, un lecteur PDF modifié distribué comme logiciel légitime. Ce lecteur est conçu pour ouvrir des documents PDF spécialement forgés par l'attaquant et exécuter, en arrière-plan, une porte dérobée de premier niveau plutôt que de se contenter d'afficher le contenu attendu.

Étape 3 : chargement du module MISTPEN et ciblage de la faille noyau

Une fois l'implant initial en place, la chaîne charge MISTPEN, qui embarque un module d'élévation de privilèges locale (LPE) résident en mémoire, taillé sur mesure pour CVE-2026-68820. Ce module ne touche pas le disque sous forme de binaire autonome : il est chargé et exécuté directement en mémoire pour limiter les artefacts disponibles à l'analyse forensique post-incident.

Étape 4 : exploitation de la race condition dans afd.sys

Le module LPE déclenche la condition de concurrence dans afd.sys, provoquant l'usage d'une structure mémoire libérée. L'exploitation réussie fait basculer le contexte d'exécution du niveau utilisateur standard obtenu à l'étape 2 vers les privilèges SYSTEM, sans nécessiter d'interaction supplémentaire de la victime.

Étape 5 : chargement de FudModule et déploiement de ForestTiger

Avec les privilèges SYSTEM en main, la chaîne charge une nouvelle version de FudModule, le rootkit en mode noyau propre à Lazarus, connu pour manipuler directement des structures noyau afin de neutraliser ou d'aveugler les capteurs EDR sans passer par les API Windows habituellement instrumentées. Le rootkit sert de socle pour l'installation de la porte dérobée finale ForestTiger, une famille de malware déjà largement documentée et attribuée à Lazarus, qui assure la persistance et l'exfiltration de long terme. Le command-and-control s'appuie sur des instances Roundcube et des serveurs CMS légitimes compromis, un choix qui permet de noyer le trafic malveillant dans des flux web habituels plutôt que de dépendre d'une infrastructure dédiée facilement signalée.

Indicateurs de compromission

Type	Valeur
Nom de campagne	Operation Dream Job (vague 2026, ciblage défense/aérospatial)
Leurre	Fausses offres d'emploi usurpant Enveil (Privacy Enhancing Technology)
Logiciel trojanisé	SecurityPDF (lecteur PDF modifié)
Malware / composants	MISTPEN (loader + module LPE), FudModule (rootkit noyau, nouvelle version), ForestTiger (porte dérobée finale)
Infrastructure C2	Instances Roundcube compromises, serveurs CMS légitimes compromis
CVE exploitée	CVE-2026-68820 (afd.sys, CWE-416)

Les rapports publics consultés pour cet article ne détaillent pas de hachages de fichiers, d'adresses IP ou de noms de domaine précis pour cette vague spécifique de la campagne : Check Point Research n'a pas publié ces éléments dans son résumé accessible publiquement au moment de la rédaction. Les défenseurs du secteur défense/aérospatial doivent donc s'appuyer prioritairement sur la détection comportementale (chargement anormal de modules en mémoire, appels natifs inhabituels vers afd.sys, trafic sortant vers des instances Roundcube non répertoriées) plutôt que sur une liste d'indicateurs statiques.

MITRE ATT&CK

Aucune cartographie ATT&CK officielle spécifique à cette vague 2026 de la campagne n'a été publiée par Check Point dans les sources disponibles. Le tableau suivant est une lecture technique construite à partir des éléments confirmés de la chaîne d'attaque, pas une attribution vendeur.

Tactique	Technique	ID	Justification
Reconnaissance	Gather Victim Identity Information	T1589	Ciblage de profils précis dans le secteur défense/aérospatial pour calibrer les fausses offres d'emploi
Initial Access	Spearphishing Link	T1566.002	Sites d'imitation et SEO poisoning pour diriger la victime vers le faux portail de recrutement
Execution	User Execution: Malicious File	T1204.002	Ouverture du document PDF forgé via SecurityPDF
Privilege Escalation	Exploitation for Privilege Escalation	T1068	Exploitation de la race condition CWE-416 dans afd.sys via CVE-2026-68820
Defense Evasion	Rootkit	T1014	Chargement de FudModule en mode noyau pour neutraliser la visibilité EDR
Command and Control	Web Service	T1102	Utilisation d'instances Roundcube et de serveurs CMS légitimes compromis comme relais C2

Remédiation : checklist opérationnelle

Déployer immédiatement le correctif Microsoft du 11 août 2026 sur l'ensemble du parc Windows 10, Windows 11 et Windows Server 2012 à 2025, y compris les installations Server Core.
Prioriser le patching sur les postes et serveurs du secteur défense, aérospatial et aviation, cibles confirmées de cette vague de campagne.
Bloquer ou mettre sous surveillance renforcée l'exécution de lecteurs PDF non signés ou distribués en dehors des canaux logiciels officiels de l'entreprise (SecurityPDF n'est pas un produit légitime malgré son nom générique).
Sensibiliser les équipes RH et les collaborateurs exposés au recrutement externe aux offres d'emploi usurpant des sociétés réelles du secteur privacy/defense tech, avec vérification systématique du domaine d'envoi et du site de candidature.
Surveiller les communications sortantes vers des instances Roundcube webmail non gérées par l'organisation, un vecteur C2 récurrent dans les campagnes Lazarus récentes.
Activer, si disponible sur le parc, les protections HVCI (Hypervisor-protected Code Integrity) et Kernel-mode Hardware-enforced Stack Protection, qui compliquent l'exploitation de vulnérabilités noyau de type use-after-free.
Auditer les endpoints EDR pour détecter les signes de désactivation ou de contournement typiques d'un rootkit noyau (pertes de télémétrie soudaines, incohérences entre l'état processus rapporté et l'état réel).