Lazarus kombiniert Social Engineering mit der Windows-Sicherheitslücke CVE-2026-68820 zur Rechteausweitung für Spionagezwecke

Operation Dream Job ist eine seit Langem andauernde Cyberangriffskampagne der Lazarus-Gruppe [1][2], einer sehr aktiven nordkoreanischen APT-Gruppe. Die Gruppe ist dafür bekannt, seit mindestens 2016 – möglicherweise sogar schon seit 2009 oder noch früher – Organisationen aus den Bereichen Verteidigung, Luft- und Raumfahrt in Europa, Asien und Südamerika anzugreifen. In öffentlichen Berichten wird der Name „Lazarus“ oft sehr weit gefasst verwendet, um eine Vielzahl von mit Nordkorea in Verbindung stehenden Hackergruppen zu beschreiben. In den letzten Jahren haben nordkoreanische Angreifer Beschäftigungsverhältnisse als Mittel genutzt, um mithilfe gestohlener oder gefälschter Identitäten in Organisationen einzudringen, und als Falle, um Arbeitssuchende im Rahmen umfassenderer Social-Engineering-Kampagnen zu kompromittieren.

In den jüngsten Kampagnen nutzen Angreifer gefälschte Vorstellungsgespräche, um Opfer dazu zu verleiten, schädliche Dokumente zu öffnen oder mit Trojanern infizierte PDF-Reader zu installieren, um sich so einen ersten Zugriff zu verschaffen. Sobald sie sich Zugang verschafft haben, nutzen die Angreifer eine kürzlich bekannt gewordene Windows-Sicherheitslücke, CVE-2026-68820, zur lokalen Rechteausweitung und zur Installation eines Rootkits. Die Kampagne hat zudem CVE-2025-49113 genutzt, um Roundcube-Server zu kompromittieren und als Command-and-Control-Relays (C2) einzusetzen. Sowohl CVE-2026-68820 als auch CVE-2025-49113 stehen auf der CISA-Liste der bekannt ausgenutzten Schwachstellen (KEV) [1][2].

Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung mittels Registrierungsanalyse für CVE-2026-68820 in Windows Server 2025, Windows Server 2022, Windows Server 2019, Windows 11 und Windows 10 sowie regelmäßige Erkennung von Microsoft-Sicherheitslücken. Der ENTERPRISE FEED umfasst außerdem die Erkennung auf Linux-Paketebene sowie die Remote-Banner-Erkennung von CVE-2025-49113, die Roundcube Webmail bereits kurz nach dessen Bekanntgabe betraf, sowie regelmäßige Erkennung von Roundcube-Sicherheitslücken.

Mit OPENVAS SCAN und einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED erhalten Sie den tiefsten Einblick in Software-Schwachstellen in der IT-Infrastruktur Ihres Unternehmens.

Einblick in die jüngste „Operation Dream Job“-Kampagne

Laut Check Point zielt die jüngste Welle der „Operation Dream Job“ auf Fachkräfte und Organisationen im Verteidigungssektor ab, um Spionage zu betreiben. Die Angreifer installierten Malware-Module, mit denen Screenshots erfasst und abgezogen sowie ausgewählte Dateien gestohlen werden konnten.

Social-Engineering-Angriffe der ersten Stufe beinhalten das Vortäuschen einer Personalvermittlerrolle und das Unterbreiten gefälschter Stellenangebote, um Opfer dazu zu verleiten, schädliche Dateien zu öffnen [T1204.002] oder mit Trojanern infizierte PDF-Viewer zu installieren [T1204]. Anschließend setzen die Angreifer Malware ein, darunter MISTPEN, ForestTiger sowie ein bösartiges DLL-Implantat [T1055.001] mit dem Namen Troy, das bisher unbekannt war.

Nachdem sie sich ersten Zugriff verschafft hatten, nutzten die Angreifer CVE-2026-68820, die im August-Patch von Microsoft veröffentlicht wurde, zur Rechteausweitung aus [TA0004]. Die erweiterten Berechtigungen werden anschließend genutzt, um ein Windows-Rootkit [T1014] zu installieren, Endpoint Detection and Response (EDR)-Tools zu umgehen und die Protokollierung zu unterdrücken [T1685.001][T1685.005]. Roundcube-Webmail-Server, die über CVE-2025-49113 kompromittiert wurden, werden als Command-and-Control-Relays genutzt [T1090.002], wodurch bösartiger Netzwerkverkehr für Sicherheitstools als legitim erscheint.

CVE-2026-68820 in Windows AFD.sys verstehen

CVSS 7,0 · HochWird aktiv ausgenutztIn CISAs KEV-Liste

CVE-2026-68820 wurde erstmals am 11. August 2026 im Rahmen von Microsofts Patch-Tuesday-Paket vom August zusammen mit 420 weiteren neuen CVEs bekannt gegeben. Bislang ist noch kein öffentlicher Proof-of-Concept-Exploit-Code für CVE-2026-68820 verfügbar. Bei jüngsten Angriffen nutzte Lazarus jedoch CVE-2026-68820 aus, um nach dem Erlangen des Erstzugriffs lokale Berechtigungen zu erweitern. Die erweiterten Berechtigungen wurden genutzt, um ein Windows-Rootkit zu installieren.

Technische Details zu CVE-2026-68820

CVE-2026-68820 (CVSS 7,0) ist eine „Use-after-free“-Sicherheitslücke [CWE-416] in afd.sys, dem Windows-Ancillary-Function-Treiber für WinSock. Die Ausnutzung ermöglicht eine lokale Rechteausweitung auf die SYSTEM-Ebene durch Missbrauch der fehlerhaften Behandlung des Socket-Status. Wenn mehrere Threads gleichzeitig auf einen Socket zugreifen, können zwei Treiberpfade ohne ausreichende Synchronisation auf denselben Status zugreifen [CWE-362], was zu einer ausnutzbaren Race-Condition führt.

Detaillierte Informationen zur Funktionsweise des Exploits sind nicht öffentlich zugänglich. Es ist jedoch ein umfassenderes Muster von Schwachstellen in afd.sys erkennbar. Mehrere dokumentierte Beispiele betreffen Race-Conditions und „Use-after-free“-Verhalten [1][2][3][4][5][6].

Abhilfe für CVE-2026-68820 in Windows AFD.sys

Unternehmen sollten die Sicherheitsupdates von Microsoft vom August 2026 so schnell wie möglich auf ihre Windows-Systeme installieren. Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Registrierungsanalyse-Erkennung von CVE-2026-68820 in Windows Server 2025, Windows Server 2022, Windows Server 2019, Windows 11 und Windows 10 sowie regelmäßige Erkennung von Microsoft-Sicherheitslücken. Angesichts der Tatsache, dass CVE-2026-68820 aktiv ausgenutzt wird, sollten Sicherheitsteams auf verdächtige Aktivitäten auf SYSTEM-Ebene achten, die auf eine Sicherheitsverletzung hindeuten könnten.

CVE-2025-49113 in Roundcube Webmail verstehen

CVSS 8,8 · HochWird aktiv ausgenutztIn CISAs KEV-ListeÖffentlicher PoC

CVE-2025-49113 wurde im Juni 2025 veröffentlicht. Kurz nach der Veröffentlichung folgten mehrere detaillierte technische Analysen und Proof-of-Concept-Exploit-Beispiele [1][2][3][4][5][6]. Im Rahmen der „Operation Dream Job“-Kampagne wurden kompromittierte Roundcube-Server mit einer PHP-Webshell infiziert und als Relaisknoten genutzt, um die böswillige C2-Kommunikation mit dem angegriffenen Computer des Opfers zu verschleiern. Sicherheitsverantwortliche sollten Roundcube besondere Aufmerksamkeit schenken, da es häufig für Cyberangriffe genutzt wird.

Technische Details zu CVE-2025-49113

CVE-2025-49113 (CVSS 8,8, EPSS 97,694 %, 100. Perzentil) ist eine Sicherheitslücke, die nach der Authentifizierung die Ausführung von Remote-Code (RCE) ermöglicht. Die Hauptursache ist eine fehlerhafte Deserialisierung von PHP-Objekten [CWE-502], die durch einen nicht validierten _from-Parameter in program/actions/settings/upload.php verursacht wird. Durch die Eingabe bösartiger Daten kann ein authentifizierter Angreifer ein bösartiges PHP-Objekt einschleusen, das während der Deserialisierung instanziiert wird. Öffentlich zugängliche Exploit-Ketten nutzen die Klasse „Crypt_GPG_Engine“ als Gadget: Wenn das Objekt zerstört wird, können vom Angreifer kontrollierte Eigenschaften die Ausführung von Shell-Code im Kontext des Webserver-Prozesses auslösen.

Abhilfe für CVE-2025-49113 in Roundcube Webmail

Vom Hersteller wurden keine vorübergehenden Abhilfemaßnahmen für CVE-2025-49113 veröffentlicht. Die primäre Abhilfe besteht darin, betroffene Roundcube-Webmail-Installationen auf eine korrigierte Version zu aktualisieren. Roundcube hat CVE-2025-49113 im Juni 2025 in den Zweigen 1.5 LTS und 1.6 behoben. Seitdem wurden jedoch mehrere weitere CVEs mit kritischem Schweregrad in Roundcube identifiziert, was ein weiteres Upgrade erforderlich macht.

Außerdem wird Roundcube 1.5.x seit der Veröffentlichung von Version 1.7.0 am 10. Mai 2026 nicht mehr unterstützt oder gepflegt. Um weiterhin Sicherheitsupdates zu erhalten, sollten Nutzer von 1.5.x auf Roundcube 1.7.3 migrieren. Nutzer des LTS-Zweigs sollten auf 1.6.18 aktualisieren. Der ENTERPRISE FEED von Greenbone umfasst die Erkennung auf Linux-Paketebene sowie die Remote-Banner-Erkennung von CVE-2025-49113 in Roundcube Webmail bereits kurz nach dessen Bekanntgabe sowie regelmäßige Erkennung von Roundcube-Sicherheitslücken. Sicherheitsverantwortliche sollten Roundcube besondere Aufmerksamkeit widmen, da es häufig für Cyberangriffe ausgenutzt wird.

Zusammenfassung

Die jüngsten Aktivitäten im Rahmen der „Operation Dream Job“-Kampagne kombinieren Social-Engineering-Angriffe unter dem Deckmantel von Personalvermittlern mit der Ausnutzung der Schwachstelle CVE-2026-68820, um Berechtigungen zu erweitern und auf kompromittierten Windows-Systemen auf Tarnung ausgelegte Malware zu installieren. Roundcube-Webmail-Server, die über CVE-2025-49113 ausgenutzt werden, dienen als Relay-Infrastruktur, um den C2-Datenverkehr zu verschleiern.

Der OPENVAS ENTERPRISE FEED von Greenbone enthält eine Erkennung mittels Registrierungsanalyse für CVE-2026-68820 in Windows Server 2025, Windows Server 2022, Windows Server 2019, Windows 11 und Windows 10 sowie regelmäßige Erkennung von Microsoft-Sicherheitslücken. Zudem umfasst der ENTERPRISE FEED die Erkennung auf Linux-Paketebene sowie Remote-Banner-Erkennung von CVE-2025-49113 in Roundcube Webmail bereits kurz nach dessen Bekanntgabe sowie regelmäßige Erkennung von Roundcube-Sicherheitslücken.

Unternehmen sollten die Behebung beider Schwachstellen priorisieren und die damit verbundenen Angriffstechniken überwachen, insbesondere in den Bereichen Verteidigung, Luft- und Raumfahrt sowie anderen hochsensiblen Umgebungen. Mit OPENVAS SCAN und einer kostenlosen zweiwöchigen Testversion des OPENVAS ENTERPRISE FEED erhalten Sie den tiefsten Einblick in Software-Schwachstellen in der IT-Infrastruktur Ihres Unternehmens.