Severokorejská skupina Lazarus opět rozjela dlouho běžící kampaň Operation Dream Job. Tentokrát cílí na evropské zbrojařské, letecké a kosmické firmy a kombinuje falešné nabídky práce s čerstvým Windows zero-day, který umožňuje plnou kontrolu nad napadeným systémem. Podle výzkumu společnosti Check Point je aktivita spojena s cíli pracujícími na surveillance senzorech, dronech a robotice, s potvrzenými kompromitacemi ve Francii a Německu.
Falešná nabídka práce jako vstupní bod
Kampaň Operation Dream Job běží minimálně od roku 2020 a stojí na jednoduchém principu. Útočníci se vydávají za náboráře známých firem a osloví technicky zaměřené zaměstnance přes LinkedIn nebo e-mail s lákavou pracovní nabídkou. Cílem je přimět oběť ke stažení a spuštění souboru, který vypadá jako součást náborového procesu.
Check Point zdokumentoval dva paralelní infekční řetězce, které skupina Lazarus v této vlně používá.
V prvním scénáři oběť dostane sadu souborů obsahující legitimní PDF prohlížeč, škodlivou DLL knihovnu a zašifrovaný payload s příponou PDF. Po spuštění prohlížeče se do paměti načte škodlivá DLL a nainstaluje se backdoor. Aby útočníci oběť nevyplašili, zobrazí jí následně skutečný a neškodný PDF dokument, který slouží jako zástěrka.
Druhý scénář je propracovanější. Útočníci se vydávají za firmu Enveil, která se skutečně zabývá privacy enhancing technologiemi, a cíl nabádají ke stažení aplikace SecurityPDF, upravené verze open-source PDF prohlížeče. Jedna z použitých návnad dokonce kopírovala popis pracovní pozice od firmy Lockheed Martin, což dodává útoku na věrohodnosti. Trojanizovaný prohlížeč po spuštění prohledává otevřené PDF soubory a hledá v nich skrytý marker. Pokud ho najde, extrahuje z dokumentu skrytý payload a nahraje backdoor přímo do paměti systému.
Nový backdoor Troy a stealth downloader MISTPEN
Výzkumníci Check Pointu v rámci kampaně identifikovali dosud nezdokumentovaný backdoor, který pojmenovali Troy. Nahrává se přímo do paměti napadeného systému a umožňuje útočníkům enumerovat soubory, nahrávat a stahovat data, spouštět příkazy, ukončovat procesy a injektovat vlastní DLL knihovny do běžících procesů.
Vedle backdooru Troy kampaň využívá také downloader MISTPEN, který komunikuje s útočníky prostřednictvím souborů uložených na OneDrive pomocí Microsoft Graph API. Tento přístup je ukázkou techniky living off trusted services, kdy škodlivý provoz splývá s běžnou komunikací legitimních cloudových služeb a je proto obtížně odlišitelný od standardního firemního provozu.
Zero-day CVE-2026-68820 v jádru Windows
Technickým jádrem celé kampaně je zneužití zranitelnosti CVE-2026-68820, kterou Check Point objevil a nahlásil Microsoftu. Jde o chybu typu use-after-free v ovladači AFD.sys, tedy Windows Ancillary Function Driver for WinSock, který v jádru systému obsluhuje síťové sockety.
Zranitelnost spočívá v race condition, kdy dvě části kódu ovladače pracují se stavem stejného socketu současně bez odpovídající synchronizace. Pokud útočník správně načasuje akce, jedna cesta uvolní paměť, zatímco druhá k ní stále přistupuje. Uvolněná paměť může být mezitím realokována na obsah, který útočník kontroluje, čímž vzniká takzvané kernel read/write primitivum. To následně slouží k eskalaci oprávnění z běžného uživatele na SYSTEM, tedy nejvyšší možnou úroveň přístupu ve Windows.
Nejde o první případ, kdy Lazarus zneužil zranitelnost typu use-after-free přímo v ovladači AFD.sys. Check Point nahlásil chybu Microsoftu 28. července 2026, o tři dny později ji Microsoft potvrdil, 5. srpna jí bylo přiděleno CVE a oprava vyšla 11. srpna v rámci pravidelného Patch Tuesday. Podle dostupných informací šlo o jedinou aktivně zneužívanou zranitelnost v celém srpnovém vydání záplat.
FudModule v3.1 s novými schopnostmi
Získaná SYSTEM oprávnění útočníci využívají k nasazení nové verze rootkitu FudModule, který Lazarus vyvíjí a nasazuje minimálně od roku 2021. Nová verze 3.1 oproti starším variantám upouští od bypassů cílených konkrétně na produkty jako Microsoft Defender nebo AhnLab a místo toho vsází na obecnější potlačování bezpečnostních produktů jako takových.
Rootkit dále umí vypnout EDR telemetrii, konkrétně ETW providery, minifilter drivery a crash-dump logování, což bezpečnostním týmům výrazně ztěžuje zpětnou analýzu incidentu. Nová funkce navíc umožňuje manipulovat s mechanismem Windows Smart App Control, konkrétně resetovat stav takzvané reputable policy a vynutit přenačtení code integrity politiky systému.
Infrastruktura postavená na cizích serverech
Zajímavou kapitolou kampaně je způsob, jakým Lazarus řídí komunikaci s napadenými systémy. Namísto vlastní, snadno dohledatelné infrastruktury útočníci kompromitovali nejméně sedmnáct serverů třetích stran, mezi nimi webmailové instance Roundcube a weby postavené na WordPressu a PrestaShopu.
Do těchto serverů se dostali z velké části zneužitím starší zranitelnosti CVE-2025-49113 v Roundcube a pomocí přihlašovacích údajů uniklých na darknetu. Na kompromitované servery následně nasadili PHP webshell nazvaný RelayShell, který nefunguje jako klasický příkazový shell, ale jako obousměrný relay node přenášející příkazy mezi útočníky a napadenými systémy prostřednictvím prostých textových souborů. Díky tomu škodlivý provoz vypadá jako běžná webová aktivita a je pro obranné týmy výrazně hůře rozpoznatelný.
Koho kampaň zasáhla
Aktuální vlna Operation Dream Job podle Check Pointu probíhá od začátku roku 2026, přičemž samotný zero-day byl zneužíván minimálně od začátku července. Zaměření kampaně leží primárně na obranném, leteckém a kosmickém sektoru, s potvrzenými kompromitacemi ve Francii a Německu a s aktivitou nebo cílením zaznamenaným také v Brazílii a Indii.
Cíle útočníků zahrnují organizace pracující na surveillance senzorech, dronech a robotických systémech. V minimálně jednom případě útočníci zneužili důvěru a kompromitované účty jedné evropské organizace k tomu, aby přes ni oslovili a napadli další oběti, což ukazuje na propracovanou a postupně eskalující operaci.
Proč je kampaň nebezpečná
Kombinace několika prvků dělá z této vlny Operation Dream Job výrazně nebezpečnější hrozbu než běžný phishing. Jde o cílený spear-phishing kombinovaný s impersonation weby a SEO poisoning technikami pro distribuci trojanizovaného softwaru, zero-day zranitelnost umožňující plnou kontrolu nad systémem bez další interakce uživatele a infrastrukturu postavenou na zneužití důvěryhodných služeb jako OneDrive, Roundcube nebo WordPress, která ztěžuje detekci na síťové úrovni.
Ředitel threat intelligence Check Point Software Sergey Shykevich k tomu uvedl, že hlavní riziko kampaně nespočívá jen v samotné zero-day zranitelnosti, ale především v tom, jak důkladně Lazarus propojil legitimní a důvěryhodnou infrastrukturu do každé fáze útoku.
Doporučení
Organizace v obranném, leteckém a kosmickém sektoru by měly co nejdříve nainstalovat srpnovou aktualizaci Patch Tuesday, která CVE-2026-68820 opravuje. Zaměstnanci v těchto odvětvích by měli přistupovat se zvýšenou obezřetností k nabídkám práce přijatým přes LinkedIn nebo e-mail a identitu náborářů si ověřovat i mimo platformu, na které kontakt vznikl. Bezpečnostní týmy by dále měly věnovat pozornost monitoringu neobvyklého provozu na OneDrive a Microsoft Graph API, protože právě tímto kanálem kampaň část své komunikace maskuje.
Zdroje
- Check Point Research – Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack: https://research.checkpoint.com/2026/shattering-the-dream-when-a-job-offer-becomes-a-zero-day-attack/
- BleepingComputer – Lazarus hackers exploited Windows zero-day to target defense firms: https://www.bleepingcomputer.com/news/security/lazarus-hackers-exploited-windows-zero-day-to-target-defense-firms/
- Help Net Security – Lazarus hackers pair fake job offers with Windows zero-day exploit: https://www.helpnetsecurity.com/2026/08/12/north-korea-lazarus-fake-job-offers/
- Infosecurity Magazine – Lazarus Used Post-Quantum Key Exchange to Deliver Zero-Day: https://www.infosecurity-magazine.com/news/lazarus-post-quantum-key-dream-job/
- Cybernews – North Korean hackers target European defense companies: https://cybernews.com/security/dprk-hackers-target-european-defense-companies/
