Nem todo ataque crítico começa com uma falha exposta na internet. Em julho de 2026, o grupo norte-coreano Lazarus comprometeu funcionários de empresas de defesa e aeroespacial através de uma vaga de emprego falsa no LinkedIn, e usou um zero-day de escalonamento de privilégio no kernel do Windows pra apagar o próprio rastro antes que qualquer ferramenta de EDR percebesse alguma coisa. A falha, corrigida pela Microsoft só em 11 de agosto, já estava em uso havia pelo menos cinco semanas.
A falha: CVE-2026-68820
A National Vulnerability Database confirma CVSS 3.1 de 7,0 (CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H), classificada como CWE-416, use-after-free. A vulnerabilidade está no Ancillary Function Driver for WinSock (AFD.sys), o driver de kernel que sustenta toda operação de socket no Windows. Uma condição de corrida no tratamento de estado compartilhado entre threads permite que um atacante já autenticado localmente, com privilégio baixo e sem interação de usuário, execute uma aplicação especialmente construída e ganhe privilégio de SYSTEM. Afeta praticamente todo Windows 10 e 11 com suporte ativo, além das versões atuais do Windows Server. A correção saiu em 11 de agosto de 2026, no Patch Tuesday, e no mesmo dia a CISA incluiu a falha no catálogo Known Exploited Vulnerabilities, com prazo de mitigação até 25 de agosto para agências federais dos EUA.
Operation Dream Job: o vetor de entrada
O zero-day nunca foi o ponto de entrada. A Check Point Research, que descobriu a falha e reportou à Microsoft em 28 de julho, rastreou a exploração até uma nova onda da Operation Dream Job, campanha de espionagem norte-coreana que usa oferta de emprego falsa como isca há anos. Recrutadores fictícios abordam profissionais técnicos no LinkedIn com vaga em empresa de defesa, direcionam a vítima pra um site clonado otimizado pra aparecer bem no resultado de busca, e entregam o payload por dois caminhos: um leitor de PDF trojanizado ou um pacote de DLL sideloading, executável legítimo empacotado junto de uma DLL maliciosa. A partir daí, um downloader batizado de MISTPEN usa a Microsoft Graph API pra buscar módulo de reconhecimento e exfiltrar informação de sistema, processo e captura de tela via OneDrive, tudo escondido em tráfego que parece uso normal de nuvem corporativa.
FudModule: o rootkit que apaga o rastro
É só depois de ganhar privilégio de SYSTEM através do CVE-2026-68820 que o ataque mostra sua real intenção. O loader carrega o FudModule, rootkit de modo kernel que a Lazarus vem refinando há anos, em pelo menos três zero-days anteriores. Uma vez ativo, ele zera o EtwpActiveSystemLoggers dentro da estrutura _ETW_SILODRIVERSTATE do kernel, matando o NT Kernel Logger e toda sessão CKCL de uma vez, o que elimina 94 provedores de ETW simultaneamente. Soma-se a isso a remoção seletiva de minifiltros por banda de altitude, a desativação do monitoramento do Microsoft Defender e o bloqueio de dump de memória em caso de crash. O resultado é um sistema comprometido que continua funcionando normalmente, mas sem gerar nenhum dos sinais que EDR e SIEM dependem pra detectar atividade pós-exploração.
Cinco semanas de vantagem
O binário do FudModule recuperado carrega timestamp de compilação de 7 de julho de 2026, o que indica que a Lazarus já explorava a falha havia pelo menos cinco semanas antes da Check Point reportar o problema à Microsoft, em 28 de julho. A Microsoft confirmou a falha em três dias, atribuiu o CVE em 5 de agosto e lançou a correção em 11 de agosto. O alvo confirmado inclui empresas de defesa, aeroespacial, drone e robótica na Europa Ocidental, Índia e América do Sul, incluindo Brasil.
O que isso muda pra quem testa segurança
Um zero-day de kernel é sempre notícia, mas o padrão de ataque por trás dele é o que mais interessa pra quem decide onde investir em segurança:
- Engenharia social continua sendo o vetor de entrada mais barato, mesmo contra alvo de alto valor com maturidade técnica
- Escalonamento de privilégio local é o elo que transforma 'consegui rodar um arquivo' em 'controlo a máquina inteira', e raramente recebe o mesmo escrutínio dado a RCE remoto
- EDR e SIEM assumem que a telemetria de que dependem sempre vai existir. Um teste de assumed breach que simule manipulação de ETW ou desativação de logging expõe esse ponto cego antes que um atacante real o explore
- Treinamento de conscientização precisa incluir cenário de recrutamento falso, não só phishing genérico de e-mail
Testar além do perímetro
A maior parte do orçamento de segurança ainda vai pra bloquear a porta da frente. Mas o ataque que a Lazarus rodou contra empresas de defesa mostra o valor de simular o que acontece depois que alguém já está lá dentro: se o processo de detecção sobrevive a um endpoint que apaga o próprio log, ou se a resposta a incidente só percebe o problema quando já é tarde demais. É exatamente esse tipo de cenário que separa um pentest de perímetro de um exercício de red team completo.