Hacker asal Korea Utara yang berafiliasi dengan Lazarus Group telah mengeksploitasi zero-day vulnerability baru pada Windows untuk mengambil alih sistem korban, menurut laporan Check Point. Serangan yang terus berlangsung dari kampanye Operation Dream Job ini menargetkan sektor pertahanan di berbagai negara, terutama organisasi aerospace dan aviasi di Eropa dan India, dengan menyamar sebagai rekruter yang menawarkan peluang kerja palsu di perusahaan terkenal.
APA YANG TERJADI?
Kampanye yang aktif sejak awal 2026 ini dimulai dengan penyerang menghubungi calon korban melalui platform profesional atau aplikasi pesan langsung. Korban diminta mengunduh arsip yang berisi PDF viewer, DLL berbahaya, dan payload terenkripsi yang menyamar sebagai file PDF. DLL sideloading digunakan untuk mengeksekusi downloader Mistpen di memori, sementara decoy deskripsi pekerjaan ditampilkan di layar.
Rantai infeksi dilanjutkan dengan reconnaissance, persistence, dan eksploitasi vulnerability sebelumnya tidak diketahui pada Windows Ancillary Function Driver for WinSock (afd.sys). Zero-day ini, yang kini dilacak sebagai CVE-2026-68820, adalah use-after-free yang memungkinkan penyerang memicu race condition dan mendapatkan privilege System. Check Point juga mengidentifikasi rantai infeksi kedua yang menggunakan SecurityPDF viewer yang mengandung Troy backdoor — DLL implant baru yang mendukung 17 perintah operator, termasuk enumerasi file, download/upload, exfiltrasi data, shell access, terminasi proses, dan injeksi DLL.
DETAIL TEKNIS
CVE-2026-68820 adalah use-after-free pada afd.sys driver Windows yang memungkinkan eskalasi privilege ke System melalui race condition. Microsoft menambal vulnerability ini pada 11 Agustus 2026 sebagai bagian Patch Tuesday, dan CISA segera menambahkannya ke Known Exploited Vulnerabilities catalog dengan peringatan untuk patch dalam dua minggu bagi instansi federal. Infrastruktur C&C yang diamati dalam serangan ini mencakup deployment Roundcube webmail dan platform CMS yang telah dikompromikan, banyak di antaranya vulnerable terhadap CVE-2025-49113, RCE flaw yang telah dieksploitasi sejak Juni 2025.
Server-server yang dikompromikan diinfeksi dengan RelayShell, webshell PHP yang berfungsi sebagai relay komunikasi antara endpoint yang terinfeksi dan operator. RelayShell bertukar perintah dan respons melalui simple text files, yang membuat aktivitasnya lebih sulit terdeteksi sebagai backdoor konvensional. Organisasi pertahanan, aerospace, dan aviasi di Prancis, Jerman, Brasil, dan India menjadi target dalam kampanye segar ini.
DAMPAK TERHADAP INDONESIA
Kampanye Operation Dream Job dari Lazarus Group telah menargetkan korban di berbagai negara, dan Indonesia dengan populasi tenaga kerja IT yang besar merupakan target potensial. Banyak profesional Indonesia menggunakan platform job hunting global dan sering menerima undangan wawancara dari rekruter asing. Kombinasi antara peluang kerja palsu di perusahaan terkenal dan file yang terlihat sah (PDF viewer) adalah vektor yang sangat relevan bagi lingkungan kerja Indonesia. Sektor pertahanan dan aerospace nasional juga harus meningkatkan kewaspadaan terhadap pendekatan semacam ini.
REKOMENDASI MITIGASI
Check Point merekomendasikan tim keamanan untuk memprioritaskan update Patch Tuesday Agustus 2026, meninjau indicators of compromise, dan menerapkan tingkat pengawasan yang sama terhadap outreach rekrutmen yang tidak diminta seperti yang diterapkan terhadap permintaan unduhan yang tidak terverifikasi. Bagi organisasi Indonesia: segera patch CVE-2026-68820, pantau aktivitas RelayShell dan Roundcube yang dikompromikan, serta latih karyawan untuk tidak mengunduh file dari sumber rekrutmen yang tidak dapat diverifikasi. Segementasi jaringan antara sistem korporat dan perangkat pribadi juga penting karena serangan ini memanfaatkan PDF viewer pribadi untuk menginfeksi sistem korporat.
Analisa Retasan
Root cause dari efektivitas serangan ini adalah kombinasi antara social engineering yang sangat persuasif — penawaran pekerjaan di perusahaan terkenal melalui platform profesional — dan zero-day vulnerability pada komponen kernel Windows (afd.sys) yang memungkinkan eskalasi ke System. Use-after-free pada driver Winsock adalah kelas bug yang jarang terlihat namun sangat berbahaya karena afd.sys berjalan di level kernel; eksploitasi yang berhasil memberikan penyerang hak tertinggi pada sistem tanpa perlu melewati lapisan keamanan userland. Fakta bahwa vulnerability baru dipublikasikan sebagai zero-day yang segera masuk KEV catalog menunjukkan tingkat keparahan yang diakui secara resmi.
Cross-reference dengan kampanye Lazarus sebelumnya menunjukkan pola konsisten: Operation Dream Job telah berlangsung bertahun-tahun dan terus berevolusi. Perbedaan pada kampanye terbaru adalah penggunaan SecurityPDF sebagai alternatif infeksi dan integrasi Troy backdoor modular dengan 17 perintah. Pola ini mirip dengan kampanye sebelumnya yang menggunakan fake PDF viewers dan decoy dokumen pekerjaan. RelayShell sebagai webshell relay — bukan backdoor langsung — adalah evolusi yang menunjukkan peningkatan opsec, karena menghindari pola traffic khas backdoor yang lebih mudah terdeteksi.
Bagi Indonesia, serangan ini adalah pengingat bahwa APT state-sponsored tidak hanya menargetkan negara besar. Dengan pertumbuhan industri pertahanan dan aerospace nasional serta ekosistem startup teknologi yang semakin terhubung secara global, Indonesia adalah target yang menarik untuk eksfiltrasi teknis dan intellectual property. Tim keamanan perlu memperlakukan setiap outreach rekrutmen yang tidak diminta dengan tingkat verifikasi tinggi, karena satu klik pada PDF viewer yang tampak sah dapat membuka pintu bagi kompromi penuh pada sistem korporat.
Sumber: SecurityWeek — Fresh Windows Zero-Day Exploited in North Korean Cyberattacks
