Windows-Lücke CVE-2026-68820: Lazarus Group nutzte Zero-Day fünf Wochen
Veröffentlicht am: 01.09.2026 um 08:13 Uhr | Redaktion boerse-global.de
Die als Lazarus Group bekannte Hackergruppe hat über einen Zeitraum von etwa fünf Wochen eine kritische Zero-Day-Schwachstelle im Windows-Betriebssystem für gezielte Spionageangriffe ausgenutzt.
Berichten von Sicherheitsanalysten zufolge richteten sich die Aktivitäten gegen hochsensible Branchen, bevor Microsoft am 11. August 2026 mit einem Sicherheitsupdate auf die Bedrohung reagierte. Die Kampagne zeichnete sich durch den Einsatz spezialisierter Schadsoftware und komplexe Social-Engineering-Taktiken aus.
Technischer Hintergrund und Angriffsvektoren
Die Schwachstelle mit der Kennung CVE-2026-68820 betrifft den Windows-Treiber AFD.sys. Es handelt sich dabei um einen sogenannten Use-after-Free-Fehler, der es Angreifern ermöglicht, erweiterte Systemrechte zu erlangen.
Die Sicherheitslücke wurde mit einem CVSS-Score von 7.0 als schwerwiegend eingestuft. Vor der Veröffentlichung des offiziellen Patches Mitte August gelang es den Akteuren, die Sicherheitslücke unbemerkt für ihre Operationen zu nutzen.
Die Angriffe zielten primär auf Unternehmen aus der Verteidigungs- und Luftfahrtindustrie in Europa, Indien und Brasilien ab. Als Einstiegspunkt diente eine ausgefeilte Phishing-Strategie, bei der sich die Angreifer als Personalvermittler ausgaben.
Rekord-Schäden durch Phishing zeigen, wie wichtig professionelle Abwehrstrategien für Organisationen geworden sind. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam gegen psychologische Manipulationstaktiken schützen kann. Anti-Phishing-Paket für Unternehmen jetzt gratis herunterladen
Über soziale Netzwerke und den Nachrichtendienst Telegram kontaktierten sie potenzielle Opfer. Dabei wurden manipulierte Domains verwendet, die legitimen Terminbuchungsplattformen wie Calendly oder Picktime nachempfunden waren, um Vertrauen zu erwecken und die Installation von Schadcode einzuleiten.
Einsatz spezialisierter Schadsoftware
Im Zentrum der Kampagne stand die Verbreitung des Remote-Access-Trojaners RemotePE, der in der Version FudModule v3.1 identifiziert wurde. Experten von Fox-IT (NCC Group) wiesen darauf hin, dass es sich hierbei um eine speicherresidente Schadsoftware handelt. Dieser „fileless“ Ansatz bedeutet, dass der Trojaner vollständig im Arbeitsspeicher operiert, was die Entdeckung durch klassische dateibasierte Sicherheitssysteme erheblich erschwert.
Das von der Lazarus Group genutzte Toolset umfasste neben dem eigentlichen Trojaner auch Komponenten wie den DPAPILoader und den RemotePELoader. Ziel dieser Werkzeuge sei es, dauerhaften Zugriff auf die infizierten Systeme zu gewährleisten und sensible Daten zu exfiltrieren. Neben dem Fokus auf den Industriesektor wurden laut Berichten auch Organisationen im Bereich der dezentralen Finanzen (DeFi) zum Ziel dieser spezifischen Kampagne.
Behördliche Reaktion und Patch-Management
Aufgrund der aktiven Ausnutzung der Schwachstelle durch staatlich gestützte Akteure reagierte die US-Cybersicherheitsbehörde CISA umgehend. Die Behörde nahm CVE-2026-68820 am 11. August 2026 in ihren Katalog bekannter ausgenutzter Sicherheitslücken (Known Exploited Vulnerabilities Catalog) auf. Damit verbunden war eine verbindliche Anweisung an US-Regierungsbehörden, die Sicherheitslücke bis spätestens zum 25. August 2026 zu schließen.
Wer sich mit dem Schutz vor modernen Cyberrisiken und neuen gesetzlichen Anforderungen befasst, benötigt fundierte Informationen zur proaktiven Absicherung. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um ihre IT-Sicherheit ohne teure Investitionen zu stärken. Gratis-E-Book: Cyber Security Bedrohungen abwenden
Sicherheitsexperten raten Unternehmen, insbesondere in den betroffenen Sektoren, die installation der von Microsoft bereitgestellten Updates zu verifizieren.
Da die Lazarus Group vermehrt auf Social Engineering über Messenger-Dienste und gefälschte Rekrutierungsprozesse setzt, gewinne zudem die Sensibilisierung von Mitarbeitern gegenüber unaufgeforderten Kontaktaufnahmen auf Plattformen wie Telegram weiter an Bedeutung.
Die fileless Architektur von RemotePE unterstreiche zudem die Notwendigkeit für moderne Endpoint-Detection-and-Response-Systeme (EDR), die auch Anomalien im Arbeitsspeicher überwachen können.
