Mit Nordkorea verbundene Lazarus-Hacker zielen mit überzeugenden Rekrutierungsmethoden auf Mitarbeiter europäischer Rüstungsunternehmen ab, die letztlich Malware liefern. Die Angriffe sind Teil der Operation Dream Job, einer Kampagne, bei der attraktive Beschäftigungsmöglichkeiten genutzt werden, um Kontakt zu ausgewählten Zielen herzustellen, bevor bösartige Dateien eingebracht werden.
Die jüngste Aktivität wird seit Anfang 2026 verfolgt Check Point Research und konzentriert sich auf den europäischen Verteidigungssektor. Luft- und Luftfahrtunternehmen gehören zu den Zielen, ebenso wie Organisationen, die mit militärischen Technologien wie Drohnen, Überwachungssensoren und Robotik arbeiten. Checkpoint Research
Anstatt mit einer offensichtlichen bösartigen Botschaft zu beginnen, geben sich Lazarus-Operatoren als Rekrutierer aus, die bekannte Verteidigungsfirmen vertreten. Potenzielle Opfer werden über professionelle Netzwerkdienste wie LinkedIn oder direkt per E-Mail kontaktiert und erhalten offenbar lukrative Beschäftigungsmöglichkeiten. Die Angreifer lenken das Gespräch dann auf Dokumente, die angeblich mit dem Rekrutierungsprozess in Verbindung stehen.
Check Point hat mehrere Wege dokumentiert, wie diese Dateien zu einem kompromittierten Windows-Computer führen können. In einer Angriffskette erhält das Opfer eine Sammlung von Dateien, die einen legitimen PDF-Viewer, eine bösartige DLL und eine verschlüsselte Nutzlast mit einer PDF-Erweiterung enthält. Das Öffnen des bereitgestellten Viewers lässt die bösartige DLL, die schließlich eine Backdoor auf dem Computer installiert. Gleichzeitig wird eine authentisch aussehende PDF angezeigt, um die Interaktion normal erscheinen zu lassen.
Eine separate Variante verwendet einen modifizierten PDF-Reader, der als Anwendung zur Ansicht des vorgesehenen Jobdokuments bereitgestellt wird. Das trojanisierte Programm überprüft geöffnete PDFs auf einen bestimmten versteckten Marker. Wenn es auf den erwarteten Marker trifft, extrahiert es versteckten bösartigen Code und lädt eine Hintertür direkt in den Speicher.
Sobald sie eingerichtet ist, bietet die Backdoor Funktionen wie das Ausführen von Befehlen und das Abrufen von Dateien vom kompromittierten Computer. Das macht das anfängliche Rekrutierungsgespräch mehr als einen konventionellen Versuch, Login-Daten zu stehlen: Das Jobangebot dient als Zustellmechanismus für Malware, die dauerhaften Zugriff auf das System des Ziels ermöglichen soll.
Forscher fanden außerdem eine fortschrittlichere Komponente in der jüngsten Kampagne mit CVE-2026-68820, einer Windows-Schwachstelle. Laut der Analyse von Check Point nutzte Lazarus den Fehler aus, um FudModule, ein mit der Gruppe assoziiertes Kernel-Mode-Rootkit, mit SYSTEM-Privilegien auszuführen. Dies verschaffte den Angreifern eine mächtige Methode, auf einem bereits kompromittierten Windows-Rechner zu arbeiten.
Die Zielerfassung zeigt auch, wie der Zugang zu einer Organisation nachfolgende Angriffe unterstützen kann. Check Point identifizierte mindestens einen Fall, in dem der Ruf und die vertrauenswürdige Identität einer kompromittierten europäischen Organisation im Rahmen von Versuchen, weitere Opfer anzusprechen, missbraucht wurden.
Operation Dream Job selbst entstand vor dieser speziellen Welle. Die Kampagne stützte sich wiederholt auf soziales Engineering mit Beschäftigungsthema, aber Check Point sagt, dass die 2026 beobachtete Aktivität diese etablierten Rekrutierungstaktiken mit aktualisierten Auslieferungsmethoden, modularer Malware, kompromittierter Webinfrastruktur und der Ausnutzung einer bisher unbekannten Schwachstelle kombiniert.
Die aktuellen Ziele sind besonders bemerkenswert, da sie in Gebieten operieren, die direkt mit europäischen Verteidigungsfähigkeiten verbunden sind. Die Untersuchung von Check Point identifizierte Organisationen, die im Bereich Luft- und Raumfahrt, Luftfahrt und spezialisierte Militärtechnologie tätig sind, anstatt die Aktivität als wahllose Phishing-Kampagne zu beschreiben.
Microsoft lists Sicherheitslücken, die seine Produkte betreffen, über den Security Update Guide des Microsoft Security Response Center. Die neuesten Ergebnisse von Operation Dream Job stammen jedoch aus Check Points Untersuchung der Lazarus-Kampagne und deren Angriffen auf Ziele im europäischen Verteidigungssektor.
Check Point führt die Aktivität auf Lazarus zurück und sagt, seine Ergebnisse zeigen, dass die Gruppe weiterhin Operation Dream Job modifiziert, anstatt ihre etablierte Rekrutierungsstrategie aufzugeben. In den im Jahr 2026 dokumentierten Angriffen kann eine vielversprechende Stelle in der Verteidigungsindustrie stattdessen mit einem kompromittierten Windows-System und einer Lazarus-Hintertür auf dem Computer des Opfers enden.