Operation Dream Job továbbfejlesztve
A Check Point Research elemzése szerint az észak-koreai Lazarus csoport továbbfejlesztette a régóta ismert Operation Dream Job kampányt, amelyben hamis állásajánlatokkal vesznek célba elsősorban védelmi, repülőgépipari és űripari vállalatokat Európában és Indiában. A támadók LinkedInen vagy más üzenetküldő platformokon toborzónak adják ki magukat, majd egy álláshirdetésnek álcázott fájl vagy egy hamis weboldal letöltésére veszik rá az áldozatot. Az új kampányban egy módosított PDF-megjelenítőt (SecurityPDF) terjesztenek, amely a felhasználó által megnyitott speciálisan előkészített PDF-ből betölti a Troy nevű, eddig nem ismert hátsó kaput. A legitimnek tűnő alkalmazás és a SEO-optimalizált hamis weboldalak használata jelentősen növeli a támadás hitelességét.
A kutatás egyik legfontosabb megállapítása, hogy a Lazarus a kompromittálás után egy eddig ismeretlen Windows nulladik napi sérülékenységet, a CVE-2026-68820 hibát használta ki a AFD.sys illesztőprogramban. A helyi jogosultságkiterjesztési sérülékenység segítségével SYSTEM jogosultságot szerzett, majd telepítette a FudModulekernel-szintű rootkit új változatát, amely képes csökkenteni vagy megkerülni az EDR-megoldások láthatóságát. A sérülékenységet a Check Point jelentette a Microsoftnak, amely az augusztusi Patch Tuesday részeként kiadta a javítást.
A Lazarus nem saját parancs- és vezérlőszervereket (C2) használ, hanem kompromittált Roundcube webmail- és WordPress-szervereket alakít át csomópontokká a RelayShell nevű PHP webshell segítségével. A kampány során a támadók a CVE-2025-49113 Roundcube-sérülékenységet is kihasználták, és legalább egy kompromittált nyugat-európai szervezet infrastruktúráját további célpontok elleni adathalász támadások indítására használták fel. A Check Point szerint ez jól mutatja, hogy a Lazarus egyre kifinomultabban kombinálja a social engineeringet, a zero-day sérülékenységeket és a legitim infrastruktúrák eltérítését, hogy megnehezítse a támadások felderítését és visszakövetését.
