Lazarus Pakai Zero-Day Windows Lewat Lamaran Kerja Palsu, Baru Ditambal di Patch Tuesday Agustus

Selama lebih dari lima minggu, sebuah celah di jantung sistem jaringan Windows dipakai diam-diam oleh kelompok peretas yang didukung negara untuk membobol perusahaan pertahanan, dirgantara, dan robotika di empat negara — dan pintu masuknya bukan phishing email biasa, melainkan tawaran kerja palsu yang tampak meyakinkan (Check Point Research). Baru pada 11 Agustus, sebagai bagian dari Patch Tuesday bulanan, Microsoft menutup celah itu — tapi jendela eksploitasi tanpa tambalan sudah cukup lama untuk membuat kerusakan nyata.

Operation Dream Job: Lamaran Kerja Sebagai Pintu Masuk

Kampanye ini adalah babak terbaru dari Operation Dream Job, taktik rekayasa sosial yang sudah lama jadi andalan Lazarus: menyamar sebagai perekrut dari perusahaan teknologi atau pertahanan ternama, lalu mengirim "tes teknis" atau dokumen lamaran yang sebenarnya berisi malware. Menurut riset Check Point, target kali ini terkonsentrasi pada organisasi pertahanan, dirgantara, penerbangan, drone, robotika, dan teknologi militer, dengan korban terkonfirmasi di Prancis, Jerman, Brasil, dan India (BleepingComputer).

Begitu korban terpancing membuka file umpan, Lazarus tidak berhenti di akses awal. Mereka memakai zero-day Windows untuk naik ke privilese SYSTEM, lalu menanam versi baru FudModule — rootkit kernel-mode milik Lazarus yang dikenal mampu mematikan alat pemantauan keamanan dari dalam sistem operasi itu sendiri (The Hacker News). Kombinasi zero-day plus rootkit kernel ini yang membuat kampanye tersebut jauh lebih sulit dideteksi dibanding malware Lazarus generasi sebelumnya.

Anatomi CVE-2026-68820: Race Condition di Driver WinSock

Celah yang dipakai, CVE-2026-68820, adalah kerentanan use-after-free di Ancillary Function Driver for WinSock (afd.sys) — driver kernel yang jadi tulang punggung Windows Sockets API, komponen inti yang menangani hampir semua komunikasi jaringan di Windows. Penyerang dengan akses lokal berprivilese rendah bisa memicu race condition yang membuat memori yang sudah dibebaskan tetap bisa diakses, lalu memanfaatkannya untuk mendapat kemampuan baca-tulis di level kernel dan pada akhirnya privilese SYSTEM penuh (SOC Prime).

Garis waktunya menunjukkan seberapa cepat sisi ofensif bergerak dibanding sisi defensif: Check Point melaporkan celah ini ke Microsoft pada 28 Juli, Microsoft mengonfirmasi bug-nya 31 Juli, CVE resmi baru diberi nomor pada 5 Agustus, dan tambalan baru dirilis 11 Agustus — sementara Lazarus sendiri sudah memakainya sejak awal Juli (GCN). Artinya ada jendela eksploitasi aktif kurang lebih lima minggu sebelum publik tahu celah itu ada, apalagi menambalnya. Celah ini memengaruhi rentang versi Windows yang luas — mulai dari Windows 10 versi 1607, 1809, 21H2, dan 22H2, Windows 11 versi 24H2 dan 26H1, sampai Windows Server 2012 hingga 2025 — sehingga daftar sistem yang perlu segera ditambal jauh lebih panjang daripada sekadar workstation korban langsung (Action1).

Bagian dari Gelombang Besar: Patch Tuesday Agustus 2026

CVE-2026-68820 bukan satu-satunya sorotan bulan ini. Microsoft menambal ratusan kerentanan sekaligus pada rilis 11 Agustus — SecurityWeek dan sejumlah vendor keamanan mencatat total 421 CVE dengan 62 di antaranya berstatus "Critical" dan 40 berupa remote code execution, sementara Tenable mencatat angka 398 CVE murni produk Microsoft (selisihnya lazim terjadi karena perbedaan metodologi hitung antarvendor, termasuk apakah CVE komponen pihak ketiga seperti Chromium/Edge ikut dimasukkan) (SecurityWeek) (Tenable).

Total ada tiga zero-day yang ditambal bulan ini: CVE-2026-68820 yang sudah dieksploitasi Lazarus, ditambah dua celah yang diungkap publik lebih dulu tanpa bukti eksploitasi aktif — CVE-2026-62832 di Windows User Profile Service yang bisa dipakai naik ke privilese administrator, dan CVE-2026-72971 di Windows Container Isolation FS Filter Driver (Malwarebytes). Ini rilis besar kedua berturut-turut setelah Patch Tuesday Juli yang memecahkan rekor 570 celah — pola yang makin sering muncul seiring makin kompleksnya ekosistem Windows. Bedanya dengan bulan lalu: status eksploitasi tiga zero-day kali ini justru jadi filter prioritas yang jelas — tambal CVE-2026-68820 duluan karena sudah terbukti dipakai serangan nyata, baru susul dua CVE lain yang meski publik namun belum ada laporan eksploitasi aktif.

Takeaway

Yang membuat kasus ini berbeda dari sekadar statistik Patch Tuesday bulanan adalah kombinasi dua hal: rekayasa sosial yang sudah teruji (lamaran kerja palsu, bukan exploit rumit lewat internet terbuka) dipasangkan dengan zero-day kernel yang membuka jalan ke kontrol penuh sistem. Bagi tim keamanan, prioritasnya jelas — segera tambal CVE-2026-68820 kalau organisasi punya paparan ke sektor pertahanan, dirgantara, atau kontraktor terkait, dan latih tim rekrutmen serta kandidat internal untuk curiga pada "tes teknis" dari perekrut yang tak bisa diverifikasi independen. Tapi pelajaran yang lebih luas berlaku untuk siapa pun: kelompok seperti Lazarus tidak butuh exploit paling canggih kalau korban sendiri yang membuka pintunya — dan makin canggih rootkit yang mereka tanam setelah masuk, makin penting mendeteksi di titik rekayasa sosialnya, bukan menunggu sampai level kernel sudah dikuasai.

---

Sumber gambar: Markus Spiske di Unsplash, Adi Goldstein di Unsplash, Florian Olivo di Unsplash