Microsoft סגרה כ-400 חולשות באוגוסט, ואחת מהן כבר שימשה את Lazarus לריגול

קבוצת Lazarus הצפון קוריאנית ניצלה חולשת יום אפס ב-Windows, ו-Microsoft סגרה אותה ב-11 באוגוסט. התיקון הגיע בעדכון האבטחה החודשי, Patch Tuesday, שטיפל בכ-400 חולשות. חולשת יום אפס (zero-day) היא חולשה שתוקפים מנצלים עוד לפני שיש לה תיקון. לפי Check Point Research, התוקפים הגיעו לקורבנות דרך הצעות עבודה מזויפות.

איך Lazarus הפכה הצעת עבודה לשליטה במחשב

החוקרים עוקבים אחרי הגל הזה מתחילת 2026. הקמפיין מוכר בשם Operation Dream Job. התוקפים מתחזים למגייסים של חברות ביטחון, תעופה וחלל מוכרות. לפי Check Point, הפנייה מגיעה ככל הנראה דרך LinkedIn או אפליקציות מסרים.

הקורבן מקבל ארכיון ZIP מוצפן, ובו מציג PDF ומסמך פיתיון. באחת הגרסאות, המסמך התחזה לתיאור משרה ב-Lockheed Martin. בגרסה אחרת התוקפים התחזו לחברת Enveil והפיצו מציג PDF נגוע בשם SecurityPDF. לפחות שלושה אתרים מזויפים הפיצו אותו, והתוקפים קידמו אותם במנועי חיפוש.

כאן נכנסת לתמונה CVE-2026-68820. החולשה יושבת ב-afd.sys, דרייבר בליבת Windows שאחראי על תקשורת הרשת. בעזרתה, משתמש עם הרשאות נמוכות מקבל הרשאות SYSTEM, הגבוהות ביותר במחשב. לפי Microsoft, הניצול לא דורש שום פעולה מצד המשתמש. התנאי הוא שהתוקף כבר מריץ קוד במחשב, למשל אחרי שהקורבן פתח את הפיתיון.

Lazarus השתמשה בהרשאות האלה כדי לעוור את כלי ה-EDR, מערכות הזיהוי והתגובה בתחנות הקצה. אחר כך התקינה את FudModule, רוטקיט שפועל בליבת המערכת, ודלת אחורית חדשה בשם Troy. לפי Check Point, הניצול כוון ל-Windows 11 בגרסאות 24H2 ו-25H2.

מי על הכוונת, ומתי Microsoft ידעה

המטרות הן ארגונים בתחומי הביטחון, התעופה והחלל. בהם גם חברות שעוסקות ברחפנים, ברובוטיקה ובחיישני מעקב. הגל האחרון התמקד באירופה ובהודו. החוקרים זיהו פריצות מוצלחות בצרפת ובגרמניה, ופעילות גם בדרום אמריקה. התוקפים השתלטו על ארגון צרפתי, ומשם שלחו הודעות פישינג ממוקדות ליעדים ברחבי העולם.

לפי החוקרים, התוקפים ניצלו את החולשה כבר בתחילת יולי. Check Point דיווחה עליה ל-Microsoft ב-28 ביולי. Microsoft אישרה את הבאג ב-31 ביולי. התיקון יצא כעבור פחות משבועיים.

מה עוד סגר עדכון אוגוסט של Microsoft

לפי KrebsOnSecurity, Microsoft טיפלה בלפחות 398 חולשות. SecurityWeek ספרה 421. זה פחות מהשיא של יולי, מעל 570 חולשות, אבל כמעט פי שניים מיוני. לפי Krebs, 42 מהחולשות קריטיות. כלומר, תוקף יכול להשתלט דרכן על מערכת עם מעט מאוד מעורבות של המשתמש.

שלוש חולשות נוספות בולטות במיוחד. הראשונה, CVE-2026-62878, פוגעת בשרת ה-DNS של Windows. היא מאפשרת לתוקף מרוחק, בלי הזדהות, להריץ קוד על השרת. השנייה, CVE-2026-62815, היא חולשה קריטית ב-Microsoft QUIC. גם אותה אפשר לנצל דרך הרשת, בלי סיסמה ובלי פעולת משתמש.

השלישית, CVE-2026-62832, נמצאת בשירות פרופילי המשתמשים של Windows. חוקר בכינוי Nightmare-Eclipse פרסם לה הוכחת היתכנות בשם LegacyHive אחרי עדכון יולי. לפי Ivanti, היא מאפשרת למשתמש רגיל לטעון את הגדרות הרישום של משתמש אחר, גם של מנהל המערכת.

עוד ב-GEEKLIK: Patch Tuesday של ספטמבר: Microsoft תיקנה כמעט אלף חולשות, שתיים כבר נוצלו

מה הלאה: Lazarus והקצב החדש של העדכונים

Operation Dream Job פעיל כבר שנים, והגל הנוכחי מראה שהשיטה עדיין עובדת. במקביל, קצב העדכונים עולה. לפי Krebs, גם Adobe עברה לפרסם עדכוני אבטחה פעמיים בחודש. Cisco, Google, Mozilla ו-Oracle מעדכנות בתדירות גבוהה ובהיקף גדול.

Krebs מצטט גם מחקר של 1Password. לפיו, תיקונים שכתבו מודלי שפה לא סגרו את החולשה, הוסיפו חולשה חדשה או גם וגם, במעל מחצית המקרים. לכן מומחים ממליצים להשאיר אדם בתהליך גם כשמשתמשים ב-AI לעדכונים.