Hackers norte-coreanos exploram falha zero day no Windows
O grupo de ciberespionagem Lazarus, ligado à Coreia do Norte, está explorando ativamente uma vulnerabilidade crítica de dia zero no kernel do Windows para obter privilégios de nível SYSTEM e instalar um sofisticado rootkit chamado FudModule. A falha, rastreada como CVE-2026-68820, já foi corrigida pela Microsoft no pacote de atualizações liberado em 11 de agosto, mas continua sendo uma ameaça para sistemas que ainda não foram atualizados.
A vulnerabilidade afeta o driver afd.sys, componente central do Windows responsável por funções de rede e gerenciamento de sockets. Em termos práticos, trata-se de um módulo sensível, pois está diretamente ligado à comunicação de aplicações com a rede. Uma exploração bem-sucedida dessa falha permite a escalada de privilégios no sistema operacional: o invasor, que inicialmente possui apenas acesso limitado, consegue elevar seus direitos até o nível SYSTEM, que é o mais alto grau de controle em máquinas Windows.
Um ponto importante é que o ataque não começa diretamente com a exploração da zero-day. Para tirar proveito da CVE-2026-68820, os criminosos precisam primeiro obter algum tipo de execução de código na máquina-alvo, ainda que com poucos privilégios. Isso costuma ocorrer por meio de engenharia social, anexos maliciosos ou softwares adulterados. Depois que o hacker já está “dentro”, ainda que de forma limitada, a falha no afd.sys é usada para dar o salto para o controle total do sistema.
Essas atividades fazem parte de uma campanha maior de espionagem conhecida como Operation Dream Job. Nessa operação, o Lazarus se passa por recrutadores e empresas de renome, oferecendo vagas atraentes para profissionais altamente qualificados, especialmente nos setores de defesa, aeroespacial e aviação. As iscas são cuidadosamente preparadas para parecerem legítimas, com descrições detalhadas de vagas e supostos processos seletivos.
Os alvos recebem arquivos que se apresentam como descrições de cargos, formulários de candidatura ou testes técnicos. Entre esses arquivos estão visualizadores de PDF adulterados e documentos preparados especificamente para explorar vulnerabilidades. Quando a vítima abre o material malicioso, é instalado silenciosamente um downloader chamado MISTPEN.
O MISTPEN funciona como uma primeira etapa do ataque. Ele coleta informações do computador, como versão do sistema operacional, softwares instalados, configurações de segurança e perfil de uso. Com base nesses dados, os operadores do Lazarus decidem qual payload entregar em seguida. É nesse momento que entra em cena o exploit para a falha zero-day no afd.sys, permitindo a escalada de privilégios até SYSTEM.
Depois que o invasor atinge esse nível de acesso, é instalado o rootkit FudModule. Essa ferramenta é projetada para permanecer oculta e garantir persistência, alterando o funcionamento normal do sistema para esconder a presença do malware. Um dos objetivos principais do FudModule é interferir em mecanismos de telemetria do Windows, reduzindo a capacidade do sistema de registrar atividades suspeitas e dificultando o trabalho de equipes de resposta a incidentes.
A versão mais recente do FudModule também apresenta recursos específicos para enfraquecer soluções de segurança modernas. O rootkit é capaz de reduzir a visibilidade de ferramentas de EDR (Endpoint Detection and Response), que hoje são uma das principais linhas de defesa contra ameaças avançadas. Além disso, pesquisadores identificaram que o malware manipula o componente Smart App Control do Windows, enfraquecendo essa camada adicional de proteção que tem o objetivo de bloquear a execução de aplicativos potencialmente perigosos.
A campanha do Lazarus não se limita a uma região específica. Atividades compatíveis com a Operation Dream Job foram observadas em diversos países, incluindo Brasil, além de vários países europeus e a Índia. Isso reforça o caráter global da ameaça e mostra que organizações de diferentes portes e setores podem ser impactadas, não apenas empresas diretamente ligadas à área militar ou aeroespacial.
Diante desse cenário, uma ação imediata e indispensável é a aplicação das atualizações de segurança mais recentes do Windows, em especial o pacote de agosto, que corrige a CVE-2026-68820. Sistemas desatualizados permanecem vulneráveis, mesmo após a divulgação pública da falha, o que tende a popularizar o exploit entre outros grupos criminosos além do Lazarus.
Além do patching, é essencial reforçar o monitoramento de artefatos associados a supostas ofertas de emprego, especialmente quando envolvem anexos executáveis, instaladores de “visualizadores de PDF” ou documentos que exijam macros ou permissões extras para serem abertos. Departamentos de recursos humanos e profissionais de TI que lidam com currículos e processos seletivos devem ser treinados para reconhecer sinais de comprometimento e abordagens atípicas.
Outro ponto crucial é a adoção de uma política rígida de privilégio mínimo. Como a exploração da vulnerabilidade exige que o atacante já tenha alguma forma de acesso inicial, reduzir a superfície de ataque passa por limitar os direitos de usuários comuns, segmentar redes e impedir que contas de uso diário tenham permissões administrativas. Medidas como essas não impedem totalmente a exploração, mas dificultam a movimentação lateral e reduzem o impacto de um eventual comprometimento.
Empresas também devem revisar seus processos de detecção e resposta a incidentes para considerar a presença de rootkits no nível de kernel. Ferramentas de segurança precisam ser capazes de identificar comportamentos anômalos, mesmo quando o malware tenta se esconder manipulando telemetria. Correlacionar eventos de diferentes fontes, como logs de rede, registros de autenticação e atividades de processos, torna-se ainda mais importante quando se enfrenta adversários avançados como o Lazarus.
Do ponto de vista dos usuários finais, algumas boas práticas ajudam a reduzir o risco: desconfiar de ofertas de emprego muito vantajosas ou que envolvam processos fora do padrão; evitar instalar visualizadores, conversores ou readers enviados por recrutadores; preferir sempre abrir documentos com ferramentas já instaladas e atualizadas; e relatar imediatamente ao time de segurança qualquer arquivo suspeito recebido durante contatos de recrutamento.
Organizações de setores críticos, como defesa, energia, transporte e tecnologia, precisam considerar que campanhas como a Operation Dream Job tendem a ser persistentes e adaptáveis. Mesmo após a correção da falha zero day, o Lazarus e grupos semelhantes costumam buscar novas vulnerabilidades, ajustar seus vetores de ataque e continuar investindo em engenharia social altamente direcionada.
Por fim, este caso reforça uma lição recorrente em segurança da informação: vulnerabilidades de dia zero no kernel, combinadas com engenharia social convincente e rootkits avançados, criam cenários em que a detecção se torna extremamente desafiadora. A resposta passa por um conjunto de ações coordenadas: atualização constante, fortalecimento de processos, educação de usuários e investimento em camadas múltiplas de defesa. Sem essas medidas, empresas e profissionais permanecem expostos a campanhas sofisticadas como as conduzidas pelo grupo Lazarus.