Lazarus sfrutta uno zero-day di Windows in una campagna di false offerte di lavoro

La campagna colpisce difesa, aerospazio e aviazione

Una nuova operazione attribuita al gruppo nordcoreano Lazarus usa false offerte di lavoro per compromettere organizzazioni del settore difesa. La campagna, attiva dall’inizio del 2026, è collegata alla più ampia Operation Dream Job.

I bersagli includono aziende aerospaziali e aeronautiche in Francia, Germania, Brasile e India, oltre ad altri obiettivi in Europa e India. Gli operatori contattano i candidati attraverso piattaforme professionali e applicazioni di messaggistica, quindi li convincono a scaricare documenti o strumenti apparentemente legittimi.

Le versioni esatte di Windows e degli altri prodotti coinvolti non sono state rese note.

Due catene d’infezione distribuiscono backdoor in memoria

Una delle catene consegna un archivio contenente un visualizzatore PDF, una DLL malevola e un payload cifrato camuffato da documento. Il DLL sideloading permette di eseguire in memoria il downloader Mistpen, mentre all’utente viene mostrata una falsa descrizione lavorativa.

Dopo la ricognizione iniziale e l’installazione della persistenza, gli attaccanti sfruttano CVE-2026-68820, una vulnerabilità use-after-free nel driver Windows Ancillary Function Driver for WinSock (afd.sys). La falla consente di attivare una race condition e ottenere privilegi System, il livello più elevato del sistema operativo. In seguito viene installata la backdoor ForestTiger.

La seconda catena impiega SecurityPDF, un visualizzatore PDF trojanizzato. Il programma cerca un marcatore nascosto nei PDF aperti sul computer e, quando lo individua, avvia direttamente in memoria la backdoor Troy.

Troy è un nuovo impianto DLL dotato di 17 comandi. Le sue funzioni comprendono:

• enumerazione del sistema;
• download e upload di file;
• esfiltrazione dei dati;
• accesso alla shell;
• terminazione dei processi;
• DLL injection.

Lo zero-day è già sfruttato e corretto da Microsoft

Microsoft ha corretto CVE-2026-68820 l’11 agosto, nell’ambito degli aggiornamenti Patch Tuesday. La vulnerabilità è stata inoltre inserita da CISA nel catalogo Known Exploited Vulnerabilities, una classificazione riservata alle falle sfruttate in attacchi reali.

La campagna utilizza anche CVE-2025-49113, una vulnerabilità di remote code execution impiegata nell’infrastruttura di comando e controllo e sfruttata dall’inizio di giugno 2025. Sono coinvolti server Roundcube e piattaforme CMS compromessi; per questi componenti non sono note le versioni interessate.

L’infrastruttura ospita RelayShell, una webshell PHP precedentemente non documentata. Il malware fa da relay tra gli endpoint infetti e gli operatori attraverso semplici file di testo, rendendo il traffico più simile a normali comunicazioni generate da servizi web.

Cosa devono fare le organizzazioni

La priorità è applicare immediatamente l’aggiornamento Microsoft rilasciato l’11 agosto su tutti i sistemi Windows compatibili. Le agenzie federali statunitensi sono state invitate da CISA a completare la correzione entro le due settimane successive.

I team di sicurezza dovrebbero inoltre:

• cercare indicatori associati a Mistpen, ForestTiger, Troy, SecurityPDF e RelayShell;
• controllare endpoint con visualizzatori PDF insoliti o DLL caricate da directory non previste;
• ispezionare server Roundcube e CMS alla ricerca di installazioni modificate;
• analizzare file di testo anomali e comunicazioni verso infrastrutture web compromesse;
• verificare attività di DLL injection, accessi shell e trasferimenti inattesi di file;
• sottoporre a controlli rigorosi offerte di lavoro e richieste di download non sollecitate.

Il rischio è particolarmente elevato per difesa, aerospazio e aviazione, dove il furto di documenti tecnici e dati operativi può avere conseguenze strategiche.