A Lazarus Group néven ismert észak-koreai hackercsoporthoz kötötték egy frissen javított Windows sebezhetőség nulladik napi kihasználását. Ezzel egy eddig ismeretlen hátsó ajtót telepítenek, amely védelmi és űripari cégeket támad Franciaországban, Németországban, Brazíliában és Indiában.

A Check Point Research szerint ez az aktivitás az Operation Dream Job része. Ez egy régóta futó kiberkémkedési és social engineering kampány, amelyet phenjani hátterű hackerek irányítanak. Világszerte szakembereket vesznek célba hihető, de hamis állásajánlatokkal olyan cégektől, mint a Lockheed Martin és az Enveil. A cél az érzékeny adatok megszerzése és kártevők telepítése: LinkedInen keresik meg az áldozatokat, toborzónak adják ki magukat, és így próbálnak bizalmat építeni.

A támadások a CVE-2026-68820 (CVSS pontszám: 7,0) azonosítójú sebezhetőséget használják ki. Ez egy jogosultságkiterjesztési hiba a Windows Ancillary Function Driver for WinSock („AFD.sys”) komponensben, amelyre a Microsoft az augusztusi 2026-os Patch Tuesday frissítések részeként adott ki javítócsomagot.

Ahogy a korábbi kampányoknál is láttuk, az áldozatokat hamis toborzói üzenetekkel csábítják, majd ráveszik őket, hogy megnyissanak egy kártékony PDF-et, vagy telepítsenek egy trójai PDF olvasót. Ezt használják fel az új, Troy nevű hátsó ajtó telepítésére, amely távoli hozzáférést ad a feltört géphez. A támadók végső célja, hogy teljesen átvegyék az irányítást a fertőzött számítógépek felett, és megkerüljék a biztonsági megoldásokat.

A trójai PDF olvasó használata egy jól bevált taktika, amelyet a Lazarus Group a Dream Job kampánnyal együttvetve alkalmaz. A fenyegetést jelentő szereplők már 2022 óta visszaélnek ezzel a módszerrel.

A legutóbbi támadások során két, egymással párhuzamos fertőzési láncot azonosítottak –

• DLL side-loading: az áldozatokat ráveszik, hogy töltsenek le egy titkosított archívumot, amely egy DLL side-loading láncot indít el. A kártékony „libmupdf.dll” egy hamis álláshirdetést jelenít meg csaliként, miközben észrevétlenül letölt és memóriában futtat egy könnyű letöltő komponenst, amelynek neve MISTPEN. A letöltő a Microsoft Graph API és a OneDrive használatával kommunikál a támadók által vezérelt infrastruktúrával, hogy felderítő és perzisztencia modulokat töltsön le és futtasson, valamint elindítsa az „AFD.sys” driver sebezhetőség kihasználását. Ezután telepíti a ForestTiger (más néven ScoringMathTea) kártevőt, amely távoli hozzáférést biztosít a géphez.
• Trójai „SecurityPDF” PDF olvasó: az áldozatokat arra utasítják, hogy töltsék le a SecurityPDF-et egy, az Enveilt utánzó weboldalról. Telepítés után a program minden, rajta keresztül megnyitott PDF-et figyel egy speciális jelölés után („This document is encrypted with sumatrapdf reader!!!!!!!!!!!!”). Ha ilyen jelölést talál, a program visszafejti és elindítja a beágyazott kártevőt, amely közvetlenül a memóriába tölti be a Troy nevű hátsó ajtót. A DLL implantátum 17 különböző parancsot támogat, többek között fájlok listázására, feltöltésére és letöltésére, tömörítésére és kiszivárogtatására, interaktív shell elérésére, folyamatok leállítására, DLL-ek memóriába injektálására és a konfiguráció frissítésére.

A DLL side-loading fertőzési lánc áttekintése magas szinten.

A MISTPEN legalább négy különböző modult tölt be:

• GetInfoPlugin („Release_GetInfoPlugin_x64.dll”) – a gép profilozására szolgál, és a begyűjtött adatokat egyetlen széles karakterláncként szivárogtatja ki
• PvPlugin („Release_PvPlugin_x64.dll”) – a gépről gyűjt felderítési adatokat, valamint a futó folyamatok részleteit
• OneScreenCapture („OneScreenCapture64.dll”) – képernyőképeket készít az aktuális asztalról, az összes monitorral együtt, majd JPEG képként továbbítja őket
• LPE (helyi jogosultságkiterjesztés) loader – rendszergazdai jogosultságra törekszik, ehhez gépinformációkat gyűjt, új kulcsanyagot generál az ML-KEM poszt-kvantum kulcskapszulázó algoritmussal, majd a kézfogás során a kialkudott kulcsot használja a FudModule visszafejtésére és futtatására.

A támadási lánc a kernel módú rootkit egy frissített változatát használja. A Lazarus Group többször is bevetette legalább 2022 óta, hogy elrejtse a kártékony eszközök jelenlétét a gépre telepített biztonsági szoftverek elől.

Az egyik weboldal, amely előkelő helyen szerepel a „Enveil SecurityPDF” keresés találatai között a keresőmotorokban.

Konkrétan az „AFD.sys” helyi jogosultságkiterjesztési sebezhetőségét használja ki, így SYSTEM szintű jogosultságot szerez, majd egy újabb MISTPEN példányt fecskendez be egy SYSTEM folyamatba. Így a kártevő magasabb jogosultsággal, a biztonsági eszközök látókörén kívül futhat. Az újabb, FudModule 3.1 néven emlegetett változat továbbfejleszti az elődjét: már a Smart App Control nevű Windows funkciót is képes módosítani, amely azt ellenőrzi, hogy egy program biztonságosan futtatható-e.

„A SYSTEM szintű msiexec.exe alfolyamatban a távoli stub a VerifiedAndReputablePolicyState értékét nullára állítja, majd meghívja az NtSetSystemInformation 0xA4 osztályát a 0x10000000 opcióval, ami a kódintegritási házirend helyben történő újratöltését váltja ki” – írta a Check Point jelentése.

A támadók legalább három olyan weboldalt is létrehoztak, amelyek az Enveil oldalát utánozzák, és a „SecurityPDF” terjesztésére szolgálnak. Nem egyértelmű, pontosan hogyan illesztették ezeket az áloldalakat a social engineering kampányba. Valószínű, hogy először adathalász üzenetben küldik el a PDF-et, majd ráveszik az áldozatot, hogy a dokumentum megnyitásához töltse le a PDF nézőt az oldalról.

A domainnevek a következők:

• envell[.]xyz
• enveil[.]online
• uxtramine[.]org

Figyelemre méltó, hogy a kampány nem saját, egyedi infrastruktúrát épít, hanem feltört, de egyébként legitim WordPress és SharePoint weboldalakat, valamint sebezhető Roundcube webmail szervereket térít el, és ezeket használja ForestTiger command-and-control (C2) szerverként. Így sokkal nehezebb megkülönböztetni a forgalmat a normál webes adatforgalomtól.

A Roundcube szerverek közül sok sebezhetőnek bizonyult a CVE-2025-49113 azonosítójú hibával szemben. A támadók ezt kihasználva fertőzik meg őket a korábban nem dokumentált, RelayShell kódnevű PHP web shelllel, amely szövegfájlok formájában teszi lehetővé a parancsok és válaszok cseréjét. Legalább egy esetben egy már korábban feltört, franciaországi szervezetet használtak fel arra, hogy új áldozatoknak küldjenek adathalász üzeneteket, így megkerülve a hírnév-alapú szűrőket.

A legfrissebb eredmények azt mutatják, hogy a Lazarus Group tovább csiszolja kártevőit és módszereit, miközben a Dream Job kampány alapjait nagyrészt változatlanul hagyja, és világszerte kritikus ágazatokat vesz célba.

„A kampányt nemcsak a nulladik napi sebezhetőség teszi igazán veszélyessé, hanem az is, ahogyan a Lazarus a támadás minden szakaszába beépítette a legitim, megbízható infrastruktúrát” – mondta Sergey Shykevich, a Check Point Software fenyegetésfelderítési igazgatója a The Hacker Newsnak küldött közleményében. „Látható helyen bújtak meg: vezető keresési találatok mögé rejtőztek, valódi gyártói arculatot használtak, és kihasználták már korábban feltört szervezetek jó hírnevét.

„Ha a weboldal, a letöltés és a toborzó is hitelesnek tűnik, a régi tanács, hogy ‘ismerd fel az adathalász linket’, már nem igazán működik. Ma úgy maradhatunk biztonságban, ha abból indulunk ki, hogy maga a bizalom is hamisítható: azonnal telepítsük a javítócsomagokat, amint megérkeznek a frissítések, a szoftvereket hivatalos csatornákon keresztül ellenőrizzük, ne a keresési találatok alapján, és a zero-trust szemléletet terjesszük ki azokra a látszólag legitim oldalakra és partnerekre is, amelyekkel nap mint nap kapcsolatba lépünk.”