CVE-2026-68820: Lazarus-Gruppe nutzt Windows-Lücke gegen Rüstungsfirmen
Veröffentlicht am: 13.08.2026 um 00:13 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben eine koordinierte Angriffswelle nordkoreanischer Akteure identifiziert, bei der eine Schwachstelle im Windows-Betriebssystem gezielt gegen die Verteidigungsindustrie eingesetzt wurde. Berichten zufolge nutzten die Angreifer eine spezifische Sicherheitslücke in einem Windows-Treiber, um in vier separaten Fällen Unternehmen aus dem Rüstungssektor zu kompromittieren. Das Vorgehen unterstreicht die anhaltende Bedrohung für sensible Industriebereiche durch spezialisierte Cyberspionage-Gruppen.
Technische Details der Schwachstelle CVE-2026-68820
Im Zentrum der Angriffe steht die Schwachstelle CVE-2026-68820. Dabei handelt es sich um einen sogenannten Use-after-Free-Fehler in der Windows-Komponente AFD.sys (Ancillary Function Driver for WinSock). Die Lücke ermöglicht eine lokale Rechteausweitung, wodurch Angreifer die Berechtigungsstufe „SYSTEM“ auf einem betroffenen Gerät erlangen können. Microsoft bewertete das Risiko mit einem CVSS-Wert von 7,0 und stufte die Sicherheitsanfälligkeit als „Wichtig“ ein.
Die Schwachstelle wurde bereits seit Anfang Juni 2026 als Zero-Day-Lücke aktiv ausgenutzt, mithin mindestens fünf Wochen vor der Bereitstellung eines entsprechenden Sicherheitsupdates. Sicherheitsanalysen zufolge markiert dieser Vorfall das vierte Mal seit dem Jahr 2022, dass nordkoreanische Akteure eine Zero-Day-Lücke in genau diesem Treiber für ihre Zwecke missbrauchten. Die Entdeckung der aktuellen Schwachstelle geht auf die Forscher Moshe Marelus und David Driker von Check Point Research zurück, welche die Informationen am 28. Juli 2026 an Microsoft übermittelten.
Angesichts immer komplexerer Angriffsmethoden auf Unternehmen wird die proaktive Absicherung der IT-Infrastruktur zur geschäftskritischen Aufgabe. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Report für Unternehmen herunterladen
Die Angriffsmethodik der Lazarus Group
Hinter den Angriffen wird die als Lazarus Group bekannte Gruppierung vermutet. Im Rahmen einer Kampagne, die unter der Bezeichnung „Operation Dream Job“ geführt wird, setzten die Akteure komplexe Werkzeuge ein. Dazu gehört das Rootkit FudModule in der Version 3.1, das darauf ausgelegt ist, installierte Sicherheitslösungen (Endpoint Detection and Response, EDR) zu neutralisieren oder zu umgehen.
Ein wesentlicher Bestandteil der Angriffskette war zudem die neue Backdoor namens „Troy“, die über ein Repertoire von 17 verschiedenen Befehlen verfügt. Die Infektion der Zielsysteme erfolgte über zwei verschiedene Pfade: Zum einen wurde das sogenannte DLL-Sideloading genutzt, zum anderen kam ein manipulierte PDF-Betrachter mit der Bezeichnung „SecurityPDF“ zum Einsatz. Für die initiale Zustellung des Exploits griffen die Angreifer auf moderne Verschlüsselungsverfahren zurück, konkret auf den Post-Quantum-Schlüsselaustausch (Kyber/ML-KEM), und nutzten den MISTPEN-Downloader. Zudem wurden im Verlauf der Operation Roundcube-Server über die Schwachstelle CVE-2025-49113 kompromittiert.
Zielgruppen und Social-Engineering-Taktiken
Die Angreifer nahmen gezielt Unternehmen aus der Luftfahrt- und Verteidigungsbranche ins Visier. Geografisch erstreckten sich die Aktivitäten auf Deutschland, Frankreich, Brasilien und Indien sowie weitere Regionen in Westeuropa und Südamerika. Als Lockmittel dienten gefälschte Stellenangebote. Dabei gaben sich die Akteure unter anderem als Vertreter namhafter Unternehmen wie Lockheed Martin oder Enveil aus, um Mitarbeiter der Zielorganisationen zum Öffnen schädlicher Dateien zu bewegen.
Wer sich mit der Sicherheit von Unternehmensdaten befasst, muss heute insbesondere die psychologischen Manipulationstaktiken moderner Hacker-Gruppen verstehen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie sich Organisationen wirksam vor Angriffen wie dem CEO-Fraud schützen können. Kostenlosen Leitfaden zur Hacker-Abwehr jetzt sichern
Reaktionen und Patch-Management
Microsoft bestätigte am 11. August 2026 die aktive Ausnutzung der Schwachstelle und veröffentlichte im Rahmen des regulären Patch-Days ein Sicherheitsupdate. Dieser Patch-Day umfasste insgesamt 421 CVE-Kennungen, darunter neben CVE-2026-68820 zwei weitere öffentlich bekannte Zero-Day-Lücken sowie eine kritische Schwachstelle in WDS TFTP.
Aufgrund der nachgewiesenen Ausnutzung durch staatlich gestützte Akteure reagierte auch die US-Sicherheitsbehörde CISA. Die Behörde nahm CVE-2026-68820 in ihren Katalog bekanntermaßen ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) auf. Für Bundesbehörden wurde eine verbindliche Frist bis zum 25. August 2026 gesetzt, um die Sicherheitslücke durch die Installation der bereitgestellten Updates zu schließen. Experten raten auch privaten Unternehmen im Verteidigungssektor zu einer unverzüglichen Aktualisierung ihrer Systeme.
