Gli hacker Lazarus collegati alla Corea del Nord stanno colpendo i dipendenti delle aziende europee della difesa con approcci di reclutamento convincenti che alla fine consegnano malware. Gli attacchi fanno parte dell’Operazione Dream Job, una campagna in cui vengono utilizzate opportunità di lavoro attraenti per stabilire il contatto con obiettivi selezionati prima che vengano introdotti file dannosi.
L’attività più recente è stata monitorata Check Point Research dall’inizio del 2026 ed è concentrata sul settore della difesa europeo. Tra gli obiettivi sono aziende aerospaziali e aeronautiche, insieme a organizzazioni che lavorano con tecnologie militari tra cui droni, sensori di sorveglianza e robotica. Ricerca sui Punti di Controllo
Invece di iniziare con un messaggio palesemente malizioso, gli operatori di Lazarus si spacciano per reclutatori che rappresentano aziende della difesa riconoscibili. Le potenziali vittime vengono contattate tramite servizi di networking professionali come LinkedIn o direttamente via email e vengono presentate opportunità di lavoro apparentemente redditizie. Gli aggressori poi spostano la conversazione verso documenti presumibilmente collegati al processo di reclutamento.
Check Point ha documentato molteplici modi in cui quei file possono portare a un computer Windows compromesso. In una catena di attacco, la vittima riceve una raccolta di file che include un visualizzatore PDF legittimo, una DLL dannosa e un payload criptato mascherato da un’estensione PDF. Aprire il visualizzatore fornito causa il caricamento della DLL malevola, installando infine una backdoor sul computer. Nel frattempo, viene visualizzato un PDF dall’aspetto autentico per far apparire l’interazione normale.
Una variante separata utilizza un lettore PDF modificato fornito come l’applicazione necessaria per visualizzare il presunto documento di lavoro. Il programma Trojanizzato controllava i PDF aperti per un marcatore nascosto specifico. Quando incontra il marker atteso, estrae codice malevolo nascosto e carica direttamente una backdoor in memoria.
Una volta stabilita, la backdoor offre funzionalità che includono l’esecuzione di comandi e il recupero di file dal computer compromesso. Questo rende la conversazione iniziale di reclutamento più di un tentativo convenzionale di rubare le credenziali di accesso: l’offerta di lavoro funge da meccanismo di distribuzione per malware pensati per stabilire un accesso persistente al sistema del bersaglio.
I ricercatori hanno anche trovato un componente più avanzato nella recente campagna che ha coinvolto CVE-2026-68820, una vulnerabilità di Windows. Secondo l’analisi di Check Point, Lazarus ha sfruttato la falla per eseguire FudModule, un rootkit in modalità kernel associato al gruppo, con i privilegi SYSTEM. Questo ha fornito agli attaccanti un metodo potente per operare su un computer Windows già compromesso.
Il targeting dimostra anche come l’accesso a un’organizzazione possa favorire gli attacchi successivi. Check Point ha identificato almeno un caso in cui la reputazione e l’identità di fiducia di un’organizzazione europea compromessa sono state abusate come parte dei tentativi di avvicinarsi ad altre vittime.
L’Operazione Dream Job stessa precede questa particolare ondata. La campagna si è ripetutamente affidata all’ingegneria sociale a tema occupazionale, ma Check Point afferma che l’attività osservata nel 2026 combina queste tattiche di reclutamento consolidate con metodi di erogazione aggiornati, malware modulare, infrastrutture web compromesse e lo sfruttamento di una vulnerabilità precedentemente sconosciuta.
Gli obiettivi attuali sono particolarmente degni di nota perché operano in aree direttamente collegate alle capacità di difesa europee. L’indagine di Check Point ha identificato organizzazioni coinvolte nell’aerospazio, nell’aviazione e nella tecnologia militare specializzata, invece di descrivere l’attività come una campagna di phishing indiscriminata.
Microsoft lists vulnerabilità di sicurezza che influenzano i suoi prodotti tramite la Security Update Guide del Microsoft Security Response Center. Le ultime scoperte dell’Operazione Dream Job, tuttavia, provengono dall’indagine di Check Point sulla campagna di Lazarus e sui suoi attacchi contro obiettivi del settore della difesa europeo.
Check Point attribuisce l’attività a Lazarus e afferma che i suoi risultati mostrano che il gruppo continua a modificare l’Operazione Dream Job invece di abbandonare il suo richiamo di reclutamento consolidato. Negli attacchi documentati nel 2026, quella che sembra una promettente opportunità di lavoro nel settore della difesa può invece concludersi con un sistema Windows compromesso e una backdoor Lazarus che funziona sul computer della vittima.