Lazarus sfrutta uno zero-day Windows nelle false offerte di lavoro

🛡️ Executive Summary

• Lazarus colpisce aziende della difesa con false offerte di lavoro, viewer PDF trojanizzati e siti impersonati posizionati anche tramite SEO.
• CVE-2026-68820 in Windows AFD.sys permette a FudModule di ottenere SYSTEM e ridurre la visibilità degli strumenti EDR.
• Roundcube vulnerabili a CVE-2025-49113 vengono trasformati con RelayShell in nodi intermedi dell’infrastruttura di comando e controllo.

Lazarus ha trasformato ancora una volta una falsa offerta di lavoro in una catena d’attacco capace di arrivare fino al kernel di Windows. La nuova fase di Operation Dream Job, osservata da Check Point Research dall’inizio del 2026, colpisce principalmente organizzazioni della difesa, dell’aerospazio e dell’aviazione in Europa, India e altri Paesi. Gli operatori utilizzano due percorsi paralleli: nel primo distribuiscono un visualizzatore PDF legittimo insieme a una DLL malevola che installa MISTPEN; nel secondo fanno scaricare SecurityPDF, versione trojanizzata di un lettore basato su MuPDF che esegue la nuova backdoor Troy. La fase più avanzata sfrutta CVE-2026-68820, zero-day nel driver Windows AFD.sys corretto da Microsoft l’11 agosto, per eseguire FudModule con privilegi SYSTEM e ridurre la visibilità degli strumenti di sicurezza.

Operation Dream Job torna sulla difesa europea

La nuova campagna mantiene il modello storico di Operation Dream Job: individuare tecnici, dirigenti e professionisti attraverso offerte di lavoro apparentemente provenienti da aziende prestigiose dei settori difesa e tecnologia. Check Point non ha ricostruito con certezza il primo contatto della campagna 2026, ma ritiene plausibile l’utilizzo di LinkedIn o applicazioni di messaggistica, già osservato nelle precedenti operazioni. La ricerca tecnica pubblicata da Check Point Research documenta vittime e attività in Francia, Germania, India, Brasile e altri Paesi, con una particolare attenzione alle organizzazioni che sviluppano sensori di sorveglianza, droni, robotica e tecnologie militari. Una società compromessa in Francia è stata successivamente utilizzata per distribuire spear phishing ad altre vittime, sfruttandone reputazione e infrastruttura come moltiplicatore della fiducia. Il modello era già emerso nelle campagne nordcoreane basate su false offerte professionali e malware distribuiti a sviluppatori e nella crescita delle operazioni Contagious Interview contro professionisti del settore crypto.

La prima catena sfrutta DLL sideloading e MISTPEN

Nel primo percorso d’infezione, la vittima scarica un archivio ZIP cifrato contenente un visualizzatore PDF autentico e firmato digitalmente, una DLL malevola e un payload cifrato mascherato da documento PDF. Quando l’eseguibile viene avviato, carica libmupdf.dll attraverso DLL sideloading. La libreria mostra alla vittima il documento-esca, che può contenere per esempio una falsa posizione lavorativa presso Lockheed Martin, e contemporaneamente estrae ed esegue in memoria MISTPEN. Il downloader utilizza la Microsoft Graph API e OneDrive per recuperare moduli aggiuntivi, cifrando i file scambiati con AES e mantenendo buona parte della catena fuori dal filesystem.

MISTPEN raccoglie informazioni sull’host, processi in esecuzione e screenshot, quindi installa persistenza soltanto dopo aver verificato che il sistema compromesso rappresenti un bersaglio interessante. La scelta di servizi Microsoft come canale operativo permette di confondere una parte delle comunicazioni con traffico cloud legittimo, strategia già osservata nelle campagne APT che utilizzano servizi affidabili per ridurre la visibilità del C2.

SecurityPDF trasforma un lettore legittimo in un dropper

Nel luglio 2026 Lazarus introduce una seconda catena, più elaborata sul piano del social engineering. Gli attaccanti imitano Enveil, società reale specializzata in Privacy Enhancing Technology, e distribuiscono SecurityPDF, applicazione costruita modificando un visualizzatore PDF open source basato sul framework MuPDF. Check Point precisa che Enveil è soltanto impersonata e non risulta compromessa. SecurityPDF intercetta sia la normale funzione File → Open sia il drag-and-drop e controlla se il PDF contiene uno specifico marker. Quando lo trova, estrae un payload cifrato, lo decritta tramite una chiave XOR 0x39, salva %TEMP%\new.exe e lo avvia.

Il file eseguibile carica quindi in memoria Troy, nuova backdoor individuata per la prima volta in questa operazione. Lazarus ha creato almeno tre siti falsi di Enveil, alcuni dei quali comparivano nelle prime posizioni dei risultati di ricerca per query legate a SecurityPDF. La combinazione tra impersonificazione e SEO poisoning riduce la dipendenza dal link contenuto nell’email: alla vittima può essere inviato soltanto il documento malevolo, lasciando che sia una ricerca apparentemente autonoma a condurla verso il software trojanizzato.

CVE-2026-68820 porta FudModule fino a SYSTEM

La componente tecnicamente più rilevante è CVE-2026-68820, vulnerabilità local privilege escalation nel Windows Ancillary Function Driver for WinSock AFD.sys. Il modulo analizzato da Check Point, Afd4Eop12_x64.dll, presenta un timestamp di compilazione del 7 luglio 2026 ed è stato osservato in attacchi reali almeno dall’inizio dello stesso mese. La falla nasce da una race condition nella gestione dello stato associato ai socket: due code path possono operare contemporaneamente sulla stessa struttura senza sincronizzazione sufficiente e uno di essi può accedere a memoria già liberata, creando una use-after-free.

L’exploit converte successivamente la corruzione in una primitiva kernel read/write, utilizzata per elevare il processo a SYSTEM. Check Point ha segnalato il problema a Microsoft il 28 luglio; MSRC lo ha confermato il 31 luglio, assegnato come CVE-2026-68820 il 5 agosto e corretto nel Patch Tuesday dell’11 agosto. La falla interessa esplicitamente Windows 11 24H2 build 26100 e 25H2 build 26200, mentre il percorso completo di remediation è riportato nella scheda Microsoft dedicata a CVE-2026-68820.

FudModule 3.1 spegne la telemetria di sicurezza

Ottenuto SYSTEM, Lazarus avvia una nuova variante di FudModule, rootkit kernel utilizzato dal gruppo almeno dal 2021. La versione analizzata conserva gran parte delle capacità già presenti nella generazione precedente: rimuove process, thread e image notify callback, interferisce con object e registry callback, elimina minifilter selezionati, interrompe il NT Kernel Logger e applica regole specifiche contro driver e prodotti di sicurezza. Check Point evidenzia inoltre una nuova funzione che modifica lo stato di Smart App Control, impostando VerifiedAndReputablePolicyState a zero e forzando il reload della code integrity policy. Il modulo continua a interferire anche con Microsoft Defender, ma non attraverso il vecchio percorso dedicato a MsMpEng.exe: utilizza invece lo stesso motore generico di soppressione applicato agli altri prodotti di sicurezza. L’obiettivo non è soltanto ottenere privilegi elevati, ma rendere meno visibili le fasi successive della compromissione, comportamento coerente con altre operazioni nordcoreane nelle quali rootkit e zero-day Windows vengono utilizzati per superare i controlli EDR.

MISTPEN usa anche ML-KEM prima di scaricare l’exploit

Il loader LPE mostra inoltre un livello di progettazione superiore rispetto a un semplice dropper. Prima di recuperare il payload FudModule raccoglie versione del sistema operativo, build Windows e prodotti di sicurezza installati, quindi richiede al server di comando e controllo quattro chiavi pubbliche. Il modulo genera nuovo materiale crittografico attraverso Kyber/ML-KEM, trasmette il materiale incapsulato al C2 e riceve infine l’exploit cifrato. I messaggi tra componente LPE e MISTPEN vengono protetti ulteriormente con GOST-CBC, oltre alla cifratura AES già utilizzata dal canale OneDrive. L’exploit viene eseguito interamente in memoria e, dopo l’elevazione, FudModule inietta una nuova istanza di MISTPEN in un processo SYSTEM. La struttura separa quindi comunicazione, reconnaissance, privilege escalation e persistenza in moduli differenti, limitando ciò che ogni componente deve esporre sull’host. È una forma di modularità già comune negli APT più maturi e particolarmente efficace contro ambienti della difesa sottoposti a monitoraggio continuo.

Troy aggiunge 17 comandi di post-exploitation

La seconda catena utilizza invece Troy, RAT modulare a 64 bit che Check Point identifica come una nuova aggiunta all’arsenale Lazarus. La backdoor supporta 17 comandi e può enumerare dischi e directory, avviare processi, eliminare file, comprimere directory, esfiltrare contenuti, caricare nuovi payload, eseguire shell command e iniettare DLL direttamente in memoria in altri processi. Troy può comunicare con tre server C2 configurati internamente, sceglie il primo disponibile, effettua un handshake challenge-response e registra la vittima inviando informazioni su account, versione Windows, IPv4 locale e working directory. Per l’esfiltrazione più ampia può utilizzare PowerShell Compress-Archive, mentre il comando mem implementa reflective DLL injection verso processi compatibili. Rispetto a MISTPEN, che svolge soprattutto funzioni di downloader e orchestrazione, Troy rappresenta quindi una piattaforma più completa per mantenere controllo remoto e svolgere direttamente attività di post-exploitation.

Roundcube vulnerabili diventano relay C2

Lazarus cerca inoltre di ridurre la visibilità della propria infrastruttura compromettendo server web appartenenti a terzi. Check Point ha osservato numerosi Roundcube vulnerabili a CVE-2025-49113, una PHP Object Deserialization che può condurre a remote code execution dopo autenticazione. Gli operatori avrebbero utilizzato credenziali già trapelate online per autenticarsi ai servizi esposti e sfruttare successivamente la vulnerabilità. Sui server viene installato RelayShell, nuova web shell PHP che non funziona principalmente come terminale remoto tradizionale ma come relay tra la vittima e l’operatore. La stessa tecnica è stata osservata anche su alcuni server PrestaShop compromessi. Check Point ha individuato 17 identificativi differenti, compatibili con almeno 17 server utilizzati come nodi relay, anche se non è stato possibile identificare tutte le infrastrutture coinvolte. La catena riprende il problema dei server applicativi pubblici come punti d’appoggio già osservato nelle campagne che trasformano CMS e web server compromessi in infrastrutture operative.

RelayShell separa vittima e operatore attraverso file temporanei

RelayShell gestisce due modalità differenti sulla base della password ricevuta nella richiesta HTTP. In Victim mode crea una nuova sessione PHP, decritta una configurazione contenente il backbone URL e un identificativo del nodo e comunica al server superiore che una nuova vittima è disponibile. In Operator mode permette invece di scegliere la sessione, controllarne lo stato, caricare o eliminare file e recuperare i log. I comandi send e receive utilizzano file temporanei con nomi basati sull’identificativo di sessione per costruire un canale bidirezionale file-based tra endpoint infetto e operatore. In questo modo l’impianto presente sulla vittima non deve necessariamente comunicare direttamente con un server infrastrutturale riconducibile a Lazarus: il traffico attraversa un sito legittimo precedentemente compromesso. Gli operatori si collegano inoltre ai RelayShell attraverso servizi VPN condivisi come ExpressVPN, aggiungendo un ulteriore livello di separazione dall’infrastruttura reale.

Difesa, droni e aerospazio restano gli obiettivi principali

La vittimologia indica una forte concentrazione sul comparto militare e dual-use, con aziende che lavorano su sorveglianza, sensori, droni, robotica e aerospazio. La presenza di obiettivi in Europa occidentale e India è coerente con l’interesse nordcoreano verso tecnologie militari e proprietà intellettuale difficilmente ottenibili attraverso i normali circuiti internazionali. Check Point attribuisce la campagna all’ecosistema Lazarus Group collegato alla DPRK, ma la finalità osservata resta soprattutto di spionaggio e accesso persistente, non di monetizzazione ransomware. La Corea del Nord continua contemporaneamente a sviluppare altri modelli operativi, dagli IT worker sotto falsa identità alle campagne crypto fino alle infrastrutture di spionaggio che utilizzano software locali e watering hole. Operation Dream Job rappresenta però uno dei percorsi più longevi perché trasforma la normale mobilità professionale degli specialisti della difesa in un vettore d’ingresso difficile da eliminare con il solo hardening tecnico.

La falsa offerta di lavoro ora porta direttamente al kernel

La nuova fase di Operation Dream Job mostra soprattutto l’evoluzione della profondità tecnica raggiunta dopo il social engineering iniziale. Una proposta professionale credibile conduce al download di un visualizzatore PDF; il software apparentemente legittimo installa un downloader in memoria; MISTPEN verifica il valore della vittima, negozia materiale crittografico con il C2 e recupera un exploit zero-day; CVE-2026-68820 porta l’attaccante da utente locale a SYSTEM e FudModule interviene direttamente sulla telemetria kernel, mentre ForestTiger o Troy garantiscono il controllo successivo. La correzione Microsoft dell’11 agosto chiude il passaggio AFD.sys, ma non elimina gli altri livelli della campagna.

Le organizzazioni della difesa devono quindi combinare l’aggiornamento immediato di Windows con controlli su DLL sideloading, applicazioni PDF inattese, traffico Graph API anomalo, scheduled persistence, esecuzione in memoria e server Roundcube vulnerabili. Nel caso Lazarus, la vulnerabilità zero-day è l’anello più sofisticato della catena, ma continua a essere preceduta da un elemento molto più semplice: convincere una persona che dietro un file ci sia un’opportunità di lavoro e non un’operazione di intelligence.