Le jour zéro Windows du groupe Lazarus : une fausse offre d’emploi Lockheed Martin avec un rootkit noyau en prime

Une offre d’emploi qui était en réalité un système de diffusion de rootkit

Les leurres d’ingénierie sociale ne peuvent guère être plus précisément ciblés qu’une fausse offre d’emploi d’un véritable sous-traitant de défense envoyée exactement aux professionnels qui voudraient ce poste. Check Point Research a documenté que le groupe Lazarus — l’acteur menaçant parrainé par l’État nord-coréen — a mené une campagne utilisant un PDF leurre affichant une fiche de poste Lockheed Martin, aux côtés d’un second leurre usurpant l’identité d’Enveil, une société de technologies de protection de la vie privée, pour approcher des professionnels de la défense et de l’aérospatiale. La campagne a spécifiquement ciblé des organisations développant des technologies militaires incluant des capteurs de surveillance, des drones et de la robotique, avec des cibles confirmées en France, en Allemagne, en Inde et au Brésil. Le reportage indépendant de BleepingComputer corrobore le ciblage du secteur de la défense par la campagne et confirme que le jour zéro a été utilisé spécifiquement pour déployer une porte dérobée jusqu’alors inconnue contre les entreprises d’aérospatiale et de défense ciblées.

La chaîne technique derrière ce leurre est ce qui rend la campagne véritablement dangereuse plutôt que simplement convaincante. Les victimes ayant ouvert le leurre rencontraient l’un de deux chemins d’infection : une archive ZIP chiffrée contenant un lecteur PDF légitime et signé aux côtés d’une DLL malveillante (libmupdf.dll) se chargeant via le détournement de DLL (DLL sideloading) tout en affichant l’offre d’emploi leurre, ou un lecteur PDF trojanisé appelé « SecurityPDF » — une version modifiée du lecteur open source MuPDF — distribué via des sites web usurpant l’identité de la marque. Des PDF spécialement conçus, ouverts dans le lecteur trojanisé, contiennent une chaîne de marqueur littérale lisant « This document is encrypted with sumatrapdf reader!!!!!!!!!!!!!!! » avant qu’un déchiffrement XOR à un octet utilisant la clé 0x39 n’extraie une porte dérobée intégrée.

D’un téléchargeur à un rootkit noyau en une seule chaîne

Une fois l’exécution commencée, la chaîne s’intensifie rapidement. Les deux voies d’infection déploient MISTPEN, un téléchargeur léger en mémoire qui établit la reconnaissance et la persistance avant de déclencher l’arme réelle de la campagne : CVE-2026-68820, une vulnérabilité use-after-free dans le pilote auxiliaire de fonction Windows pour WinSock (AFD.sys). L’avis propre de Microsoft confirme que la faille permet à un attaquant local à faibles privilèges d’élever ses privilèges au niveau SYSTEM en déclenchant une condition de compétition, et — élément critique pour les défenseurs — ne nécessite aucune interaction utilisateur une fois que l’attaquant dispose déjà d’une exécution de code sur la machine, ce qui signifie que la fausse offre d’emploi n’était que le vecteur d’entrée, pas l’attaque entière.

Une fois l’accès de niveau SYSTEM sécurisé, Lazarus déploie ForestTiger, une porte dérobée bien documentée précédemment attribuée au groupe, aux côtés d’une version mise à jour de FudModule — un rootkit en mode noyau spécifiquement conçu pour interférer avec les outils de surveillance de sécurité depuis l’intérieur même de l’anneau de privilèges du système d’exploitation. Un rootkit opérant à ce niveau peut aveugler ou désactiver les logiciels de détection des terminaux fonctionnant sur la même machine, ce qui explique précisément pourquoi l’étape d’élévation de privilèges compte autant que l’accès initial : sans droits SYSTEM, FudModule ne peut pas s’installer assez profondément pour échapper aux outils de sécurité sur lesquels comptent les défenseurs pour le détecter.

Une fenêtre de cinq semaines entre l’exploitation et le correctif

Le calendrier documenté par Check Point montre une réelle précision des deux côtés — celui des attaquants et celui des défenseurs. Des preuves médico-légales, notamment un horodatage de compilation sur le binaire FudModule, datent la vague de campagne à au moins le 7 juillet 2026. Check Point a signalé la vulnérabilité à Microsoft le 28 juillet 2026 ; Microsoft a confirmé le bug le 31 juillet ; l’identifiant CVE a été attribué le 5 août ; et le correctif a été publié le 11 août 2026 dans le cadre de la publication Patch Tuesday de ce mois, qui a corrigé plus de 400 vulnérabilités au total. Le reportage de Tech Times sur le calendrier de divulgation cadre explicitement la même séquence comme une fenêtre d’exploitation de cinq semaines, soulignant que Lazarus disposait d’un exploit d’élévation de privilèges de type jour zéro fonctionnel, activement utilisé contre de véritables cibles du secteur de la défense, bien avant même que le processus de divulgation vers correctif de Microsoft ne commence.

Cet écart est la réalité inconfortable de l’économie des jours zéro : même un processus de divulgation coordonnée bien mené et rapide — Microsoft est passé de la confirmation du bug au correctif publié en 11 jours une fois le signalement de Check Point reçu — laisse encore une période de plusieurs semaines pendant laquelle un acteur étatique disposant d’un exploit noyau fonctionnel opère contre de véritables cibles sans défense disponible au-delà de la détection et de l’analyse comportementale. Fait notable, les chercheurs en sécurité ont observé que le volume élevé de correctifs d’août 2026 ne s’est pas accompagné d’un pic proportionnel de jours zéro activement exploités dans l’ensemble de la publication Patch Tuesday — ce qui signifie que CVE-2026-68820 ne faisait pas partie d’une vague d’exploitation plus large, mais constituait une arme ciblée pour une campagne unique.

Le choix d’AFD.sys comme cible d’exploitation est lui-même notable d’un point de vue défensif. Le pilote auxiliaire de fonction pour WinSock est un composant central en mode noyau qui traite pratiquement toutes les opérations de socket que les applications Windows effectuent via l’API de sockets standard — ce qui signifie qu’il s’exécute sur chaque machine Windows gérant une quelconque forme de communication réseau, offrant à Lazarus une voie d’élévation quasi universelle une fois l’exécution de code initiale obtenue, indépendamment du logiciel ou de la configuration spécifique qu’utilise un sous-traitant de défense donné. Cette universalité est précisément ce qui rend une vulnérabilité au niveau du pilote plus précieuse pour un acteur étatique bien doté qu’un bug spécifique à une application : elle fonctionne à travers toute la diversité du parc Windows d’une organisation cible sans nécessiter de reconnaissance préalable du logiciel tiers spécifique installé sur chaque machine.

Ce que cela signifie pour les organisations du secteur de la défense et leurs fournisseurs

1. Traitez les sollicitations de recruteurs avec des leurres de l’industrie de la défense comme une catégorie de risque spécifique et élevée

Étant donné que cette campagne a spécifiquement transformé en armes des offres d’emploi réalistes provenant d’entreprises réelles nommées (Lockheed Martin, Enveil), les organisations de défense et d’aérospatiale devraient informer leurs employés — en particulier ceux occupant des postes techniques ou d’ingénierie sur des programmes sensibles — que tout contact non sollicité de recruteur comportant des pièces jointes documentaires, même faisant référence à des entreprises réelles et reconnaissables, justifie une vérification par un canal séparé avant ouverture.

2. Corrigez CVE-2026-68820 immédiatement et vérifiez qu’AFD.sys est à jour sur l’ensemble de votre parc

Étant donné que la vulnérabilité ne nécessite aucune interaction utilisateur une fois qu’un attaquant dispose d’une exécution de code locale, tout système Windows non corrigé reste exposé à l’élévation de privilèges même si votre organisation bloque avec succès le vecteur de phishing initial. Confirmez que le correctif du 11 août 2026 est déployé sur tous les terminaux Windows, pas seulement sur les systèmes jugés à risque élevé.

3. Supposez que les outils de rootkit au niveau du noyau peuvent déjouer votre détection des terminaux existante

L’objectif de conception spécifique de FudModule — désactiver la surveillance de sécurité depuis l’intérieur du noyau — signifie que les organisations de la défense, de l’aérospatiale et des secteurs adjacents ne devraient pas se fier uniquement aux outils de détection et de réponse des terminaux pour capter cette classe d’attaque. Ajoutez une couche de détection d’anomalies au niveau réseau et un transfert de journaux hors bande qu’un terminal compromis ne peut lui-même altérer, car un déploiement réussi de FudModule vise spécifiquement à aveugler les outils mêmes dont dépendent la plupart des organisations pour la détection.

Le leurre de recrutement qui continue de fonctionner

Operation Dream Job fonctionne depuis des années précisément parce qu’elle exploite quelque chose que la formation à la sensibilisation à la sécurité peine à contrer pleinement : l’ambition professionnelle. Une offre d’emploi réaliste d’un sous-traitant de défense réel et reconnaissable est un leurre plus difficile à résister qu’un e-mail de phishing générique, et Lazarus a désormais associé cette approche d’ingénierie sociale éprouvée à un véritable jour zéro au niveau du noyau plutôt qu’à un logiciel malveillant courant. L’écart de cinq semaines entre l’exploitation confirmée et un correctif disponible est un rappel que la phase la plus dangereuse de toute campagne de jour zéro est celle qui se déroule avant que quiconque en dehors de l’attaquant, et éventuellement du fournisseur, ne sache qu’elle existe — c’est précisément pourquoi les organisations du secteur de la défense nommées comme cibles dans cette campagne avaient besoin d’une détection comportementale et au niveau réseau capable de capter une technique inédite, pas seulement une liste de vulnérabilités corrigées.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Shattering the Dream — When a Job Offer Becomes a Zero-Day Attack — Check Point Research
• Microsoft patches 400+ vulnerabilities, one zero-day under attack (CVE-2026-68820) — Help Net Security
• Lazarus hackers exploited Windows zero-day to target defense firms — BleepingComputer
• Lazarus Group Hacked Defense Workers With Windows Kernel Zero-Day for Five Weeks — Tech Times