Ver el código de «Operación Dream Job: Lazarus Explota Zero-Day en Windows (CVE-2026-68820) para Desplegar Troy Backdoor (2026)»

== Nombres Alternativos / Aliases ==

* Operación Dream Job (Nombre histórico de la campaña)
* CVE-2026-68820 Campaign (Por la vulnerabilidad explotada)
* Lazarus Zero-Day AFD.sys (Por el driver vulnerado)
* FudModule v3.1 Deployment (Por el rootkit utilizado)
* Troy Backdoor Operation (Por el nuevo malware)

----

== Fecha de Detección / Actividad ==

* Primera explotación observada: Principios de junio de 2026
* Reporte a Microsoft: 28 de julio de 2026
* Parche de Microsoft (Patch Tuesday) : 11 de agosto de 2026
* Publicación del informe (Check Point Research) : 12 de agosto de 2026
* Países objetivo: Francia, Alemania, Brasil, India
* Sectores objetivo: Defensa, aeroespacial, aviación
* Estado: Parcheado, pero con posible explotación activa antes del parche

----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Característica
!Detalle
|-
|Nombre del Actor
|Lazarus Group (también conocido como Diamond Sleet, Hidden Cobra, APT38)
|-
|Vínculo Gubernamental
|Alto (patrocinado por el estado de Corea del Norte)
|-
|Tipo de Actor
|Ciberespionaje / Robo de datos
|-
|Sofisticación
|MUY ALTA. El grupo demuestra:
|}

* Explotación de vulnerabilidades 0-day (CVE-2026-68820)
* Uso de criptografía post-cuántica (ML-KEM/Kyber) para proteger canales C2
* Múltiples cadenas de infección paralelas (DLL sideloading y PDF viewer trojanizado)
* Rootkit de kernel (FudModule v3.1) con capacidades avanzadas de evasión
* Abuso de infraestructura legítima comprometida (WordPress, SharePoint, Roundcube) para C2
* Campañas de ingeniería social a largo plazo (Operation Dream Job) |  | Motivación | Espionaje (robo de datos de defensa y aeroespacial) |  | Historial | Activo desde al menos 2009, responsable de ataques de alto perfil como el robo de 81 millones de dólares del Banco Central de Bangladés, el ataque a Sony Pictures y múltiples campañas de espionaje |

----

== Resumen Ejecutivo ==
El grupo de hackers norcoreano Lazarus ha sido atribuido a la explotación de una vulnerabilidad 0-day en Windows (CVE-2026-68820) para desplegar un nuevo backdoor llamado Troy contra empresas de defensa y aeroespacial en Francia, Alemania, Brasil e India . La campaña, parte de la Operación Dream Job, utiliza ofertas de trabajo falsas en plataformas como LinkedIn para engañar a los empleados y hacer que instalen malware .

El actor utilizó la vulnerabilidad en AFD.sys (el driver del kernel de Windows que maneja los sockets de red) para obtener privilegios de SYSTEM y así poder ocultar sus herramientas maliciosas a los sistemas de seguridad .

=== El vector de ataque: Ingeniería social con ofertas de trabajo falsas ===
Los atacantes se hacen pasar por reclutadores de empresas como Lockheed Martin y Enveil en LinkedIn, ofreciendo oportunidades de empleo atractivas . Al establecer confianza, envían PDF maliciosos o instruyen a las víctimas para que descarguen un visor PDF falso llamado SecurityPDF desde sitios web que imitan a empresas legítimas .

=== Las dos cadenas de infección ===
Check Point Research documentó dos cadenas de infección paralelas :
{| class="wikitable"
!Cadena
!Método
!Payload final
|-
|DLL sideloading
|Archivo ZIP con PDF viewer legítimo + DLL maliciosa (<code>libmupdf.dll</code>)
|MISTPEN downloader → FudModule v3.1 → ForestTiger backdoor
|-
|SecurityPDF
|Visor PDF trojanizado (basado en MuPDF) que detecta un marcador especial en documentos PDF
|Troy backdoor (17 comandos)
|}

=== El cero-day: CVE-2026-68820 ===
{| class="wikitable"
!Característica
!Detalle
|-
|CVE
|CVE-2026-68820
|}

* ☑  Tipo | Use-After-Free (UAF) en Windows Ancillary Function Driver for WinSock (AFD.sys)
* ☑  CVSS | 7.0 (Alta)
* ☑  Vector | Local (requiere ejecución de código existente)
* ☑  Impacto | Elevación de privilegios a SYSTEM
* ☑  Explotación activa | Sí (desde al menos junio de 2026)
* ☑  Parche | 11 de agosto de 2026 (Patch Tuesday)
* ☑  CISA KEV | Añadido el 11 de agosto de 2026 con plazo hasta el 25 de agosto de 2026

=== Criptografía post-cuántica ===
El atacante utilizó el esquema de encapsulación de claves ML-KEM (anteriormente Kyber) para proteger la entrega del exploit del cero-day . Este es el estándar de criptografía post-cuántica de NIST, diseñado para resistir ataques de computadoras cuánticas . El uso de este algoritmo en un ataque de la vida real representa un hito significativo .
----

== Vector de Ataque / Métodos de Distribución ==

=== Cadena de infección 1: DLL Sideloading ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Contacto inicial
|Reclutador falso contacta a la víctima en LinkedIn
|-
|2. Descarga
|Víctima descarga un archivo ZIP cifrado
|-
|3. DLL Sideloading
|El archivo contiene un visor PDF legítimo y la DLL maliciosa <code>libmupdf.dll</code>, que se carga lateralmente
|-
|4. Señuelo
|La DLL muestra un documento PDF falso (ej. oferta de trabajo de Lockheed Martin) para engañar a la víctima
|}

* ☑  5. Descarga de MISTPEN | La DLL descarga y ejecuta en memoria el downloader MISTPEN |  | 6. Reconocimiento | MISTPEN carga módulos para perfilar el host y tomar capturas de pantalla
* ☑  7. Explotación | MISTPEN descarga y ejecuta el exploit del cero-day a través de un canal protegido con ML-KEM y cifrado AES/GOST-CBC
* ☑  8. Rootkit | El exploit otorga privilegios SYSTEM y ejecuta FudModule v3.1 para ocultar el malware
* ☑  9. Backdoor | Despliegue de ForestTiger (ScoringMathTea) para acceso remoto persistente

=== Cadena de infección 2: SecurityPDF (PDF Viewer Troyanizado) ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Contacto inicial
|Reclutador falso contacta a la víctima en LinkedIn
|-
|2. Phishing
|Envío de un PDF con un marcador especial oculto: ''"This document is encrypted with sumatrapdf reader!!!!!!!!!!!!"''
|}

* ☑  3. Descarga del visor | La víctima no puede abrir el PDF; el atacante la dirige a un sitio web falso (ej. Enveil) para descargar "SecurityPDF"
* ☑  4. Marcador | SecurityPDF detecta el marcador en el PDF y descifra un payload oculto
* ☑  5. Backdoor | El payload carga Troy directamente en memoria (sin tocar el disco)
* ☑  6. Comando y Control | Troy se conecta a los servidores C2 controlados por el atacante

=== Sitios web falsos (suplantación de Enveil) ===
Los atacantes crearon al menos tres dominios que suplantan a la empresa de privacidad de datos Enveil :
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>envell[.]xyz</code>
|Distribución de SecurityPDF
|-
|<code>enveil[.]online</code>
|Distribución de SecurityPDF
|-
|<code>uxtramine[.]org</code>
|Distribución de SecurityPDF
|}
Estos sitios estaban optimizados para aparecer en los primeros resultados de búsqueda para términos como "Enveil SecurityPDF" .

=== Infraestructura C2: Sitios legítimos comprometidos ===
En lugar de utilizar servidores propios, el atacante comprometió sitios web legítimos para usarlos como C2:
{| class="wikitable"
!Plataforma
!Método de compromiso
!Propósito
|-
|WordPress
|(No especificado)
|ForestTiger C2
|-
|SharePoint
|(No especificado)
|ForestTiger C2
|-
|Roundcube webmail
|CVE-2025-49113
|Infección con web shell RelayShell para intercambiar comandos y respuestas mediante archivos de texto
|}
En al menos un caso, una organización francesa ya comprometida se utilizó para enviar correos de phishing a nuevas víctimas, aprovechando su reputación para evadir los filtros de correo .
----

== Componentes Maliciosos ==

=== MISTPEN (Downloader en memoria) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Lenguaje
|No especificado
|-
|Almacenamiento
|Ejecución en memoria (no escribe en disco)
|-
|Comunicación
|Microsoft Graph API y OneDrive (cifrado AES)
|-
|Módulos
|Carga al menos 4 módulos:
|-
|
| - <code>GetInfoPlugin</code> (reconocimiento del host)
|-
|
| - <code>PvPlugin</code> (reconocimiento de procesos)
|-
|
| - <code>OneScreenCapture</code> (captura de pantalla)
|-
|
| - LPE loader (descarga y ejecuta el exploit del cero-day)
|}

=== FudModule v3.1 (Rootkit de kernel) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Función
|Ocultar malware de EDR y soluciones de seguridad
|-
|Versión
|3.1 (nueva versión)
|-
|Novedades
|Manipulación de Smart App Control (reinicio de la política de integridad de código)
|-
|Mecanismo
|Establece <code>VerifiedAndReputablePolicyState = 0</code> e invoca <code>NtSetSystemInformation</code> clase 0xA4 con opción 0x10000000
|-
|Evasión
|Desactiva telemetría, minifiltros, NT Kernel Logger y 94 proveedores de ETW
|}

=== Troy (Nuevo backdoor) ===
{| class="wikitable"
!Característica
!Descripción
|-
|Lenguaje
|No especificado
|-
|Carga
|En memoria (no toca el disco)
|-
|Comandos
|17 comandos para:
|-
|
| - Enumeración de archivos
|-
|
| - Subida y descarga de archivos
|-
|
| - Archivado y exfiltración
|-
|
| - Acceso a shell interactivo
|-
|
| - Terminación de procesos
|-
|
| - Inyección de DLL en memoria
|-
|
| - Actualización de configuración
|}

=== ForestTiger (Backdoor persistente) ===

* También conocido como ScoringMathTea
* Proporciona acceso remoto persistente al host comprometido

=== RelayShell (Web shell PHP) ===

* Desplegado en servidores Roundcube vulnerables (CVE-2025-49113)
* Intercambia comandos y respuestas mediante archivos de texto

----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing: Spearphishing via Service (T1566.003)
|Contacto a través de LinkedIn con ofertas de trabajo falsas
|-
|Initial Access (TA0001)
|User Execution: Malicious File (T1204.002)
|Apertura de PDF o instalación de SecurityPDF
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|Ejecución de payloads en memoria
|-
|Execution (TA0002)
|DLL Side-Loading (T1574.002)
|Carga lateral de <code>libmupdf.dll</code> con visor PDF legítimo
|-
|Persistence (TA0003)
|Server Software Component: Web Shell (T1505.003)
|RelayShell en servidores Roundcube
|-
|Privilege Escalation (TA0004)
|Exploitation for Privilege Escalation (T1068)
|CVE-2026-68820 (AFD.sys UAF)
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Suplantación de Enveil y Lockheed Martin
|-
|Defense Evasion (TA0005)
|Rootkit (T1014)
|FudModule v3.1 (kernel-mode rootkit)
|-
|Defense Evasion (TA0005)
|Impair Defenses: Disable or Modify Tools (T1562.001)
|Desactivación de Smart App Control, ETW, telemetría
|-
|Defense Evasion (TA0005)
|Fileless Execution
|Ejecución en memoria (MISTPEN, Troy)
|-
|Defense Evasion (TA0005)
|Modify Authentication Process (T1556)
|Manipulación de la política de integridad de código
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Microsoft Graph API, OneDrive
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|AES + GOST-CBC + ML-KEM post-quantum
|-
|Command and Control (TA0011)
|Ingress Tool Transfer (T1105)
|Descarga de módulos desde OneDrive
|-
|Command and Control (TA0011)
|Web Shell (T1505.003)
|RelayShell en servidores Roundcube
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Exfiltración de datos robados
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance geográfico
|ALTO
|Francia, Alemania, Brasil, India
|}

* ☑  Sectores objetivo | CRÍTICOS | Defensa, aeroespacial, aviación
* ☑  Capacidad de evasión | MUY ALTA | Rootkit de kernel + FudModule v3.1
* ☑  Criptografía | MUY ALTA | Uso de ML-KEM (post-cuántico)
* ☑  Detección | MUY BAJA | Tráfico a OneDrive y servidores legítimos comprometidos
* ☑  Persistencia | ALTA | Backdoors ForestTiger y Troy
* ☑  Impacto en datos | MUY ALTO | Robo de datos de defensa y aeroespacial

=== Consecuencias para las organizaciones afectadas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Robo de datos de defensa
|Crítica
|Exfiltración de información sensible de defensa y aeroespacial
|}

* ☑  Compromiso de sistemas | Crítica | Backdoors con acceso remoto persistente (ForestTiger, Troy)
* ☑  Compromiso de servidores webmail | Crítica | Servidores Roundcube infectados con RelayShell
* ☑  Evasión de EDR | Crítica | FudModule v3.1 oculta actividad maliciosa
* ☑  Uso de infraestructura comprometida | Alta | Sitios legítimos usados para enviar phishing a nuevas víctimas

----

== Recomendaciones de Mitigación ==

=== Para organizaciones ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Aplicar parche de Microsoft
|CRÍTICA
|Actualizar Windows para corregir CVE-2026-68820 (Patch Tuesday, 11 de agosto de 2026)
|}

* ☑  Revisar servidores Roundcube | CRÍTICA | Buscar indicadores de CVE-2025-49113 y la web shell RelayShell
* ☑  Monitorear OneDrive y Microsoft Graph API | ALTA | Detectar actividad anómala de MISTPEN
* ☑  Auditar sitios WordPress y SharePoint | ALTA | Buscar compromisos utilizados como C2
* ☑  Revisar DLL sideloading | ALTA | Buscar <code>libmupdf.dll</code> y otros DLL no autorizados |  | Deshabilitar Smart App Control | MEDIA | (En sistemas comprometidos) Revisar si ha sido manipulado |  | Educar a empleados | ALTA | Capacitar sobre ofertas de trabajo falsas en LinkedIn y el uso de visores PDF no oficiales |

=== Detección ===
{| class="wikitable"
!Plataforma
!Acción
|-
|Endpoint Detection and Response (EDR)
|Buscar FudModule v3.1 y actividad de rootkit (desactivación de ETW, telemetría)
|-
|Logs de autenticación
|Buscar actividad anómala de elevación de privilegios a SYSTEM
|-
|Logs de red
|Buscar tráfico a OneDrive (Microsoft Graph API) y a dominios falsos de Enveil (<code>envell[.]xyz</code>, etc.)
|-
|Logs de servidor web
|Buscar actividad de RelayShell en servidores Roundcube (archivos de texto como C2)
|}
----

== Opiniones de Expertos ==
<blockquote>''"What makes this campaign so dangerous is not only the zero-day vulnerability – but also how Lazarus wove legitimate, trusted infrastructure into every stage of the attack. They hid in plain sight, behind top-ranked search results, real vendor branding, and the reputation of organizations they had already compromised. When the website, the download and the recruiter all appear authentic, the old advice to 'spot the phishing link' is no longer easily applicable."''

— Sergey Shykevich, Director de Inteligencia de Amenazas, Check Point Research</blockquote><blockquote>''"Staying safe now means assuming that trust itself can be counterfeited: patch the moment updates land, verify software through official channels rather than search rankings, and extend zero-trust thinking to the legitimate-looking sites and partners we interact with every day."''

— Sergey Shykevich, Director de Inteligencia de Amenazas, Check Point Research</blockquote><blockquote>''"This is the first time we've seen the North Korean hackers use post-quantum cryptography in their attacks. It was in the form of the ML-KEM algorithm, but the really troubling part is that we saw it in an attack on a Windows zero-day."''

— Anónimo (Citado por Infosecurity Magazine)</blockquote>
----

== Referencias y Fuentes ==

# NVD. (2026, 10 de agosto). ''CVE-2026-68820 Detail''.
# Infosecurity Magazine. (2026, 12 de agosto). ''Lazarus Used Post-Quantum Key Exchange to Deliver Zero-Day''.
# INCIBE. (2026, 12 de agosto). ''Boletín de seguridad de Microsoft: agosto de 2026''.
# 4sysops. (2026, 12 de agosto). ''Lazarus used Windows zero-day to hide Troy backdoor from EDR''.
# CyberSecurity Help. (2026, 11 de agosto). ''Use-after-free in Microsoft Windows and Windows Server - CVE-2026-68820''.
# Freebuf. (2026, 12 de agosto). ''Windows AFD.sys 0Day漏洞遭 Lazarus 黑客积极利用，用于部署 FudModule Rootkit''.
# dbugs. (2026, 11 de agosto). *CVE-2026-68820*.
# Check Point Research. (2026, 12 de agosto). ''Operation Dream Job 2026''.

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-08-13
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en análisis de Check Point Research, Infosecurity Magazine, 4sysops y otros
|}

== Indicadores de Compromiso (IOCs) ==

=== Vulnerabilidad ===
{| class="wikitable"
!CVE
!Producto
!CVSS
!Estado
|-
|CVE-2026-68820
|Windows Ancillary Function Driver for WinSock (AFD.sys)
|7.0 (Alta)
|Parcheado (11 de agosto de 2026)
|}

=== Dominios falsos (suplantación de Enveil) ===
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>envell[.]xyz</code>
|Distribución de SecurityPDF
|-
|<code>enveil[.]online</code>
|Distribución de SecurityPDF
|-
|<code>uxtramine[.]org</code>
|Distribución de SecurityPDF
|}

=== Malware y componentes ===
{| class="wikitable"
!Componente
!Descripción
|-
|MISTPEN
|Downloader en memoria (Microsoft Graph API/OneDrive)
|-
|FudModule v3.1
|Rootkit de kernel (evasión de EDR, Smart App Control)
|-
|Troy
|Backdoor modular (17 comandos)
|-
|ForestTiger
|Backdoor persistente (ScoringMathTea)
|-
|RelayShell
|Web shell PHP para servidores Roundcube
|-
|libmupdf.dll
|DLL maliciosa (DLL sideloading)
|-
|SecurityPDF
|Visor PDF trojanizado
|}

=== Marcador de PDF (SecurityPDF) ===
{| class="wikitable"
!Marcador
!Propósito
|-
|''"This document is encrypted with sumatrapdf reader!!!!!!!!!!!!"''
|Activa el payload oculto en SecurityPDF
|}

=== Técnicas de evasión ===
{| class="wikitable"
!Técnica
!Descripción
|-
|Post-quantum cryptography
|ML-KEM (Kyber) para la negociación de claves
|-
|Cifrado
|AES + GOST-CBC
|-
|Fileless execution
|Ejecución en memoria (MISTPEN, Troy)
|-
|DLL sideloading
|<code>libmupdf.dll</code>
|-
|Infraestructura legítima comprometida
|WordPress, SharePoint, Roundcube
|}

=== Comportamiento a monitorear ===
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Autenticación
|Elevación de privilegios a SYSTEM (AFD.sys)
|-
|OneDrive
|Actividad anómala vía Microsoft Graph API
|-
|ETW
|Desactivación de ETW proveedores (FudModule v3.1)
|-
|Smart App Control
|Desactivación de <code>VerifiedAndReputablePolicyState</code>
|-
|Servidores web
|Archivos de texto como C2 en servidores Roundcube
|-
|PDF viewers
|Instalación de "SecurityPDF" o visores no oficiales
|}
----

== Etiquetas / Categorías ==
 lazarus-operation-dream-job cve-2026-68820-afd-sys-zero-day windows-kernel-exploit troy-backdoor fudmodule-v3-1-rootkit mistpen-downloader post-quantum-ml-kem-kyber encryption defense-aerospace-espionage north-korea-cyber-espionage recruiters-linkedIn-fake