O grupo de ameaças norte-coreano conhecido como Lazarus Group foi identificado como responsável pela exploração de uma vulnerabilidade de dia zero recém-corrigida no Microsoft Windows para entregar um backdoor nunca visto anteriormente, mirando empresas de defesa e aeroespacial na França, Alemanha, Brasil e Índia.
A atividade, segundo a Check Point Research, faz parte da Operação Dream Job, uma campanha de ciberespionagem e engenharia social de longa duração orquestrada por hackers apoiados por Pyongyang para mirar profissionais em todo o mundo com ofertas de emprego falsas, mas convincentes, em empresas como Lockheed Martin e Enveil, a fim de roubar dados sensíveis e instalar malware, abordando as vítimas em plataformas como o LinkedIn, fingindo ser recrutadores em uma tentativa de construir confiança.
Os ataques exploram a CVE-2026-68820 (pontuação CVSS: 7,0), uma falha de escalonamento de privilégios que afeta o Driver Ancillary Function Driver for WinSock ("AFD.sys") do Windows, que foi corrigida pela Microsoft como parte das atualizações de Patch Tuesday de agosto de 2026.
Como observado em ondas anteriores da campanha, as vítimas são atraídas por mensagens falsas de recrutadores e induzidas a abrir um PDF malicioso ou instalar um visualizador de PDF cavalo de Troia, que é então usado para instalar um novo backdoor chamado Troy, que concede acesso remoto à máquina comprometida. O objetivo final dessas intrusões é assumir o controle total dos computadores infectados e contornar os controles de segurança.
O uso de um visualizador de PDF cavalo de Troia é uma tática testada e comprovada adotada pelo Lazarus Group em conjunto com a Dream Job, com os atores de ameaça abusando desse método desde pelo menos 2022.
Duas sequências diferentes de infecção paralela foram detectadas como parte dos ataques mais recentes:
- DLL side-loading, no qual as vítimas são instruídas a baixar um arquivo compactado criptografado que é usado para acionar uma cadeia de DLL side-loading. A DLL maliciosa ("libmupdf.dll") é usada para exibir uma isca de descrição de vaga falsa, enquanto baixa e executa silenciosamente na memória um baixador leve chamado MISTPEN. O baixador se comunica com infraestrutura controlada pelos atores de ameaça usando a API Microsoft Graph e o OneDrive para recuperar e executar módulos de reconhecimento e persistência, além de acionar a exploração do driver "AFD.sys", antes de implementar o ForestTiger (também conhecido como ScoringMathTea), que fornece acesso remoto ao host.
- Visualizador de PDF "SecurityPDF" cavalo de Troia, no qual as vítimas são instruídas a baixar o SecurityPDF de um site que se passa pela Enveil. Uma vez instalado, ele monitora qualquer documento PDF aberto por meio dele em busca de um marcador especial ("Este documento está criptografado com o leitor sumatrapdf!!!!!!!!!!!!!!"). Se esse marcador estiver presente, o aplicativo descriptografa e executa um payload embutido responsável por carregar um backdoor chamado Troy diretamente na memória. O implante DLL suporta 17 comandos do operador para facilitar a enumeração de arquivos, upload e download, arquivamento e exfiltração, acesso ao shell interativo, encerramento de processos, injeção de DLL na memória e atualizações de configuração.
Módulos do MISTPEN
O MISTPEN, por sua vez, carrega pelo menos quatro módulos diferentes:
- GetInfoPlugin ("Release_GetInfoPlugin_x64.dll"), para criar um perfil do host e exfiltrar as informações coletadas como uma única string de caracteres largos
- PvPlugin ("Release_PvPlugin_x64.dll"), para coletar dados de reconhecimento do host e detalhes sobre os processos em execução
- OneScreenCapture ("OneScreenCapture64.dll"), para capturar capturas de tela da área de trabalho atual, incluindo todos os monitores, e transmiti-las como imagens JPEG
- Carregador LPE (escalonamento local de privilégios), que reúne informações do host, gera novo material de chave usando o algoritmo de encapsulamento de chave pós-quântica ML-KEM e usa a chave negociada durante o processo de handshake para descriptografar e executar o FudModule.
A cadeia de ataque emprega uma versão atualizada do rootkit conhecido de modo kernel que o Lazarus Group tem usado repetidamente desde pelo menos 2022 para ocultar a presença de ferramentas maliciosas do software de segurança instalado no host.
Especificamente, ele explora uma vulnerabilidade de escalonamento de privilégios local no "AFD.sys", obtém privilégios SYSTEM e, em última análise, injeta outra instância do MISTPEN em um processo SYSTEM para permitir que ele seja executado com privilégios elevados e longe dos olhos das ferramentas de segurança. A versão mais recente, chamada FudModule 3.1, melhora sua antecessora ao permitir que ela interfira em um recurso do Windows chamado Smart App Control, projetado para verificar se um programa é seguro para executar.
"Dentro do processo filho msiexec.exe no nível SYSTEM, seu stub remoto define VerifiedAndReputablePolicyState como zero e invoca NtSetSystemInformation classe 0xA4 com a opção 0x10000000, desencadeando um recarregamento in loco da política de integridade de código", informou a Check Point em comunicado.
Além disso, os invasores criaram pelo menos três sites que se passam pela Enveil para distribuir o "SecurityPDF", embora não esteja claro como esses portais falsos foram incorporados à campanha de engenharia social. Suspeita-se que o adversário primeiro envie o PDF por meio de uma mensagem de phishing e depois instrua as vítimas a baixar o visualizador de PDF do site para visualizar o documento.
Os nomes de domínio estão listados abaixo:
- envell[.]xyz
- enveil[.]online
- uxtramine[.]org
O que é notável é que a campanha, em vez de criar sua própria infraestrutura personalizada, sequestra sites legítimos, mas comprometidos, do WordPress e do SharePoint, além de servidores de webmail Roundcube vulneráveis, para usar como servidores de comando e controle (C2) do ForestTiger, tornando muito mais desafiador diferenciá-lo do tráfego web normal.
Muitos dos servidores Roundcube foram encontrados vulneráveis ao CVE-2025-49113, com os invasores aproveitando-o para infectá-los com um web shell PHP não documentado anteriormente, codinome RelayShell, para permitir a troca de comandos e respostas na forma de arquivos de texto. Em pelo menos um caso, uma organização francesa já violada foi usada para enviar mensagens de phishing para novas vítimas para contornar filtros baseados em reputação.
As descobertas mais recentes mostram que o Lazarus Group continua refinando suas capacidades de malware e técnicas de operação, enquanto mantém os fundamentos da Dream Job amplamente intactos em ataques mirando setores críticos em todo o mundo.
"O que torna esta campanha tão perigosa não é apenas a vulnerabilidade de dia zero – mas também como o Lazarus entrelaçou infraestrutura legítima e confiável em cada estágio do ataque", disse Sergey Shykevich, diretor de inteligência de ameaças da Check Point Software, em um comunicado compartilhado com o The Hacker News. "Eles se esconderam à vista de todos, atrás de resultados de pesquisa bem classificados, marcas reais de fornecedores e da reputação de organizações que já haviam comprometido.
"Quando o site, o download e o recrutador parecem autênticos, o antigo conselho de 'identificar o link de phishing' não é mais facilmente aplicável. Manter-se seguro agora significa assumir que a própria confiança pode ser falsificada: corrija assim que as atualizações forem lançadas, verifique o software por meio de canais oficiais em vez de rankings de pesquisa e estenda o pensamento de confiança zero aos sites e parceiros que parecem legítimos com os quais interagimos todos os dias."
