Eine aktuelle Angriffskampagne der nordkoreanischen Hackergruppe Lazarus zeigt erneut, welche Bedeutung Windows-Kernel-Treiber für moderne Cyberangriffe haben.
Im Rahmen der sogenannten Operation Dream Job setzen die Angreifer unter anderem gefälschte Stellenangebote und manipulierte Software ein, um Windows-Systeme zu kompromittieren.
Besonders kritisch ist dabei eine bis vor Kurzem unbekannte Schwachstelle im
Windows-Kernel-Treiber AFD.sys.
Die Sicherheitslücke wird unter CVE-2026-68820 geführt und wurde bereits aktiv ausgenutzt, bevor Microsoft ein Sicherheitsupdate bereitstellte. Auch Organisationen in Europa und Deutschland gehören zu den beobachteten Angriffszielen.
CVE-2026-68820: Schwachstelle im Windows-Kernel
Bei CVE-2026-68820 handelt es sich um eine Schwachstelle im Windows Ancillary Function Driver for WinSock (AFD.sys).
Der Treiber ist Bestandteil von Windows und übernimmt Funktionen im Zusammenhang mit Netzwerk-Sockets. Da er auf Kernel-Ebene arbeitet, besitzt er entsprechend weitreichende Berechtigungen innerhalb des Betriebssystems.
Die Schwachstelle basiert auf einem sogenannten Use-after-free-Fehler, der unter bestimmten Bedingungen durch eine Race Condition ausgelöst werden kann.
Für einen erfolgreichen Angriff benötigt der Angreifer zunächst die Möglichkeit, Code mit normalen Benutzerrechten auf dem System auszuführen.
Gelingt anschließend die Ausnutzung von CVE-2026-68820, kann eine lokale Rechteausweitung bis auf SYSTEM-Ebene erfolgen.
Aus einem zunächst eingeschränkt laufenden Schadprogramm kann damit ein Prozess mit nahezu vollständiger Kontrolle über das Windows-System werden.
Lazarus nutzt die Schwachstelle bereits aktiv
Entdeckt wurde der Angriff im Zusammenhang mit Aktivitäten der nordkoreanischen Hackergruppe Lazarus.
Die Gruppe ist seit Jahren für gezielte Cyberangriffe gegen Unternehmen, Behörden und Organisationen aus strategisch interessanten Branchen bekannt.
Bei der aktuell beobachteten Kampagne liegt ein besonderer Schwerpunkt unter anderem auf Unternehmen aus den Bereichen:
- Verteidigung
- Luft- und Raumfahrt
- Aviation
- Drohnen-Technologie
- Überwachungstechnik
- Robotik
Die Kampagne ist international ausgerichtet. Sicherheitsforscher beobachteten Angriffe unter anderem in Westeuropa einschließlich Deutschland und Frankreich sowie in Indien.
Operation Dream Job: Das Jobangebot als Einstieg
Technische Schwachstellen sind nur ein Teil dieser Angriffskette. Der eigentliche Einstieg beginnt häufig deutlich unspektakulärer: mit einem vermeintlich interessanten Jobangebot.
Diese Vorgehensweise ist als Operation Dream Job bekannt.
Die Angreifer geben sich beispielsweise als Recruiter oder Vertreter bekannter Unternehmen aus und versuchen, ihre Opfer mit attraktiven Stellenangeboten zur Interaktion zu bewegen.
Gerade Mitarbeiter aus technisch interessanten Branchen oder Unternehmen mit sicherheitsrelevanten Projekten können so gezielt angesprochen werden.
Anstatt direkt eine offensichtlich verdächtige ausführbare Datei zu verschicken, bauen die Angreifer zunächst Vertrauen auf.
Im weiteren Verlauf soll das Opfer anschließend präparierte Dateien oder Software herunterladen und ausführen.
Manipulierter PDF-Viewer statt klassischem Schadprogramm
Eine der beobachteten Angriffsketten verwendet einen manipulierten PDF-Viewer.
Die Angreifer verteilen dabei eine veränderte Software namens SecurityPDF, die auf einem legitimen Open-Source-PDF-Viewer basiert.
Für das Opfer sieht die Anwendung zunächst wie ein gewöhnliches Programm zum Öffnen von PDF-Dateien aus.
Bestimmte präparierte Dokumente enthalten jedoch zusätzliche Daten, die vom manipulierten Viewer erkannt, entschlüsselt und anschließend ausgeführt werden können.
Damit entsteht eine interessante Angriffsmethode: Das vermeintliche Dokument ist nur ein Teil der Angriffskette. Erst in Verbindung mit dem manipulierten PDF-Programm wird der eigentliche Schadcode ausgeführt.
Zusätzlich wurden nachgebildete Webseiten eingesetzt, über die die manipulierte Software verteilt wurde.
Das zeigt, dass klassische Empfehlungen wie „nicht auf unbekannte E-Mail-Anhänge klicken“ allein längst nicht mehr ausreichen.
Malware wird direkt im Arbeitsspeicher ausgeführt
In einer weiteren beobachteten Angriffskette kommt unter anderem die Technik des DLL Sideloadings zum Einsatz.
Dabei wird eine legitime und digital signierte Anwendung dazu gebracht, eine manipulierte DLL zu laden.
Anschließend kann weitere Malware direkt in den Arbeitsspeicher eingebracht werden.
Zum Einsatz kommt unter anderem MISTPEN.
MISTPEN dient als Downloader und kann zusätzliche Module nachladen. Die Kommunikation kann dabei über legitime Cloud-Infrastruktur wie die Microsoft Graph API und OneDrive erfolgen.
Für Netzwerk- und Security-Monitoring kann die Erkennung dadurch schwieriger werden, da ein Teil der Kommunikation über grundsätzlich legitime Dienste erfolgt.
Von Benutzerrechten zu SYSTEM
Nachdem das Zielsystem kompromittiert wurde, kommt CVE-2026-68820 ins Spiel.
Die Angreifer verwenden einen speziell entwickelten Exploit gegen
AFD.sys, um ihre Berechtigungen zu erweitern.
Die Angriffskette lässt sich vereinfacht folgendermaßen darstellen:
Social Engineering → manipulierte Software → Schadcode → CVE-2026-68820 → SYSTEM-Rechte → Kernel-Rootkit
Gerade der Schritt von normalen Benutzerrechten zu SYSTEM ist sicherheitstechnisch entscheidend.
Ein Prozess mit normalen Benutzerrechten unterliegt zahlreichen Einschränkungen. Mit SYSTEM-Rechten stehen einem Angreifer dagegen erheblich mehr Möglichkeiten zur Verfügung.
FudModule arbeitet direkt auf Kernel-Ebene
Nach erfolgreicher Rechteausweitung setzt Lazarus eine neue Variante von FudModule ein.
FudModule ist ein Kernel-Rootkit, das bereits aus früheren Lazarus-Kampagnen bekannt ist.
Derartige Werkzeuge sind besonders problematisch, weil sie direkt auf Kernel-Ebene arbeiten und damit einen Bereich erreichen, auf den normale Anwendungen keinen direkten Zugriff besitzen.
Zu den beobachteten Funktionen gehören unter anderem Eingriffe in Security- und Monitoring-Mechanismen.
Dadurch kann die Sichtbarkeit eines kompromittierten Systems für EDR- und andere Sicherheitsprodukte reduziert werden.
Das Ziel ist klar: Der Angreifer möchte nicht nur Kontrolle über das System erhalten, sondern gleichzeitig die Möglichkeiten zur Erkennung seiner Aktivitäten einschränken.
Microsoft hat CVE-2026-68820 geschlossen
Die Schwachstelle wurde von Sicherheitsforschern an Microsoft gemeldet.
Microsoft veröffentlichte im Rahmen des August-Patchdays vom 11. August 2026 ein Sicherheitsupdate für die Schwachstelle.
Da CVE-2026-68820 bereits vor Veröffentlichung des Sicherheitsupdates für reale Angriffe verwendet wurde, sollten betroffene Windows-Systeme zeitnah aktualisiert werden.
Die Sicherheitslücke wird als Elevation-of-Privilege-Schwachstelle eingestuft.
Warum Windows-Treiber für Angreifer interessant sind
Der aktuelle Angriff verdeutlicht erneut einen Bereich der Windows-Sicherheit, der im normalen Betrieb häufig wenig Beachtung erhält:
Kernel-Treiber.
Treiber benötigen häufig weitreichende Berechtigungen, da sie beispielsweise:
- mit Hardware kommunizieren,
- Netzwerkfunktionen bereitstellen,
- auf Kernel-Speicher zugreifen,
- privilegierte Betriebssystemfunktionen verwenden oder
- sicherheitskritische Prozesse unterstützen.
Genau diese Berechtigungen machen Schwachstellen innerhalb von Treibern für Angreifer besonders wertvoll.
Wer eine Schwachstelle in einem Kernel-Treiber erfolgreich ausnutzen kann, kann unter bestimmten Voraussetzungen Sicherheitsgrenzen überwinden, die normalen Anwendungen gesetzt sind.
CVE-2026-68820 ist kein klassischer BYOVD-Angriff
Dabei ist eine wichtige technische Unterscheidung notwendig.
Der aktuelle Angriff über CVE-2026-68820 ist kein klassischer BYOVD-Angriff.
Bei BYOVD – Bring Your Own Vulnerable Driver bringt der Angreifer normalerweise selbst einen legitimen, häufig digital signierten, aber verwundbaren Treiber auf das Zielsystem.
Anschließend werden Schwachstellen dieses Treibers missbraucht, um beispielsweise Kernel-Zugriff zu erhalten oder Sicherheitsmechanismen zu beeinträchtigen.
Bei CVE-2026-68820 sieht die Situation anders aus.
Hier befindet sich der verwundbare Treiber mit AFD.sys bereits als
Bestandteil von Windows auf dem System.
Der gemeinsame Nenner ist jedoch derselbe:
Eine Schwachstelle auf Treiber- beziehungsweise Kernel-Ebene kann dem Angreifer eine erhebliche Erweiterung seiner Möglichkeiten ermöglichen.
DriverRiskScout: Treiber als Teil der Sicherheitsanalyse
Genau dieser Bereich ist auch Gegenstand unseres Projekts DriverRiskScout.
DriverRiskScout ist ein von Systemhaus Schulz entwickeltes defensives Analysewerkzeug, das Windows-Systeme auf bekannte verwundbare, auffällige und potenziell missbrauchbare Kernel-Treiber untersucht.
Dabei können unter anderem:
- installierte Windows-Treiber inventarisiert,
- SHA256-Hashes von Treiberdateien ermittelt,
- bekannte verwundbare Treiber erkannt,
- Informationen aus dem LOLDrivers-Projekt berücksichtigt,
- die Microsoft Vulnerable Driver Blocklist einbezogen,
- DriverStore-Pakete untersucht,
- Veränderungen über Baseline-Vergleiche sichtbar gemacht und
- Ergebnisse für SIEM-Systeme wie Wazuh bereitgestellt werden.
DriverRiskScout arbeitet dabei bewusst nach einem Read-only-Ansatz.
Es werden keine Treiber ausgenutzt, keine IOCTL-Exploits durchgeführt und keine Security-Produkte deaktiviert.
Ziel ist es, die Treiberebene eines Windows-Systems sichtbar zu machen und Administratoren bei der Bewertung möglicher Risiken zu unterstützen.
Weiterführender Artikel:
DriverRiskScout: Windows-Treiber, BYOVD und Sicherheitsanalyse
Was Unternehmen jetzt prüfen sollten
1. August-Sicherheitsupdates installieren
Windows-Systeme sollten auf den aktuellen Patchstand gebracht werden.
Da CVE-2026-68820 bereits vor Veröffentlichung des Sicherheitsupdates aktiv ausgenutzt wurde, sollte die Schwachstelle bei der Patch-Priorisierung entsprechend hoch eingestuft werden.
2. Benutzer nicht dauerhaft mit Administratorrechten arbeiten lassen
Die Angriffskette benötigt zunächst Codeausführung auf dem Zielsystem. Eingeschränkte Benutzerrechte stellen deshalb weiterhin eine wichtige Schutzmaßnahme dar.
Sie verhindern eine Kernel-Rechteausweitung über eine Schwachstelle nicht grundsätzlich, erschweren einem Angreifer jedoch viele andere Schritte innerhalb einer Angriffskette.
3. Software-Downloads kritisch prüfen
Programme sollten möglichst ausschließlich aus bekannten und nachvollziehbaren Quellen installiert werden.
Besondere Vorsicht ist geboten, wenn die Installation einer zusätzlichen Anwendung im Zusammenhang mit folgenden Situationen gefordert wird:
- einem Jobangebot,
- einer E-Mail,
- einer Chat-Nachricht,
- einem Social-Media-Kontakt,
- einem vermeintlichen Dokument oder
- einer spontan zugesandten Downloadseite.
Auch eine professionell gestaltete Webseite ist kein Beweis dafür, dass die angebotene Software vertrauenswürdig ist.
4. Endpoint-Telemetrie zentral auswerten
EDR, Antivirus, Windows-Logs und andere Security-Daten sollten nach Möglichkeit zentral gesammelt und ausgewertet werden.
Interessante Ereignisse können beispielsweise sein:
- ungewöhnliche Prozessstarts,
- DLL-Sideloading,
- neu installierte Dienste,
- unbekannte Treiber,
- Veränderungen am DriverStore,
- auffällige PowerShell-Aktivitäten,
- unerwartete Child-Prozesse,
- neue Persistence-Mechanismen und
- ungewöhnliche Netzwerkkommunikation.
Dabei sollte berücksichtigt werden, dass professionelle Angreifer ausdrücklich versuchen können, genau diese Telemetrie zu beeinträchtigen.
5. Treiberbestand nicht vergessen
Neben Windows-Updates und installierten Anwendungen sollte auch der vorhandene Treiberbestand Bestandteil einer Sicherheitsbewertung sein.
Besonders auf Systemen, die über viele Jahre betrieben und mehrfach mit neuer Hard- oder Software ausgestattet wurden, können zahlreiche zusätzliche Treiber vorhanden sein.
Nicht jeder alte Treiber stellt automatisch eine Sicherheitslücke dar. Trotzdem ist es sinnvoll zu wissen:
Welche Kernel-Treiber befinden sich überhaupt auf meinen Systemen und sind darunter bereits bekannte Sicherheitsrisiken?
Patchmanagement allein reicht nicht aus
Der aktuelle Vorfall zeigt gleichzeitig die Grenzen einzelner Sicherheitsmaßnahmen.
Ein vollständig gepatchtes System schützt nicht vor einer Schwachstelle, für die zum Zeitpunkt des Angriffs noch kein Sicherheitsupdate existiert.
Ein Antivirus-Produkt allein reicht ebenfalls nicht aus, wenn ein Angreifer Mechanismen findet, dessen Sichtbarkeit zu reduzieren.
Auch eingeschränkte Benutzerrechte sind keine vollständige Lösung, wenn anschließend eine lokale Kernel-Schwachstelle zur Rechteausweitung verwendet werden kann.
Entscheidend ist deshalb die Kombination verschiedener Maßnahmen:
- konsequentes Patchmanagement,
- Least Privilege,
- Endpoint Protection,
- EDR,
- zentrale Protokollierung,
- Application Control,
- Benutzer-Sensibilisierung,
- Schwachstellenmanagement und
- Überwachung sicherheitskritischer Systemkomponenten.
Fazit
Die aktuelle Lazarus-Kampagne zeigt, wie professionell moderne Angriffsketten inzwischen aufgebaut sind.
Ein vermeintliches Stellenangebot führt zu manipulierter Software. Schadcode wird teilweise direkt im Arbeitsspeicher ausgeführt. Anschließend wird eine Windows-Kernel-Schwachstelle verwendet, um SYSTEM-Rechte zu erhalten und ein Kernel-Rootkit einzusetzen.
Mit CVE-2026-68820 wird dabei erneut ein Windows-Treiber zum entscheidenden Bestandteil der Angriffskette.
Dass die Schwachstelle bereits vor Veröffentlichung eines Patches aktiv ausgenutzt wurde und auch Ziele in Deutschland betroffen waren, macht eine zeitnahe Aktualisierung der Windows-Systeme besonders wichtig.
Gleichzeitig zeigt der Vorfall, warum sich Sicherheitsanalysen nicht ausschließlich auf Anwendungen, Benutzerkonten und offene Netzwerkdienste konzentrieren sollten.
Auch Kernel-Treiber gehören zur Angriffsfläche eines Windows-Systems.
Genau hier lohnt sich ein genauerer Blick – sowohl auf Schwachstellen in Windows-eigenen Komponenten als auch auf bekannte Risiken durch Drittanbieter-Treiber und BYOVD-Techniken.
Quellen und weiterführende Informationen
Check Point Research
Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack
Microsoft Security Response Center
Microsoft Security Update Guide
Golem.de
Nordkoreanische Hacker attackieren Windows-Nutzer in Europa
Systemhaus Schulz
DriverRiskScout: Windows-Treiber, BYOVD und Sicherheitsanalyse