Hackers Lazarus, ligados à Coreia do Norte, estão mirando em funcionários de empresas europeias de defesa com abordagens convincentes de recrutamento que, no fim das contas, entregam malware. Os ataques fazem parte da Operação Emprego dos Sonhos, uma campanha na qual oportunidades de emprego atraentes são usadas para estabelecer contato com alvos selecionados antes que arquivos maliciosos sejam introduzidos.
A atividade mais recente tem sido acompanhada desde Check Point Research o início de 2026 e está concentrada no setor de defesa da Europa. Empresas aeroespaciais e de aviação estão entre os alvos, ao lado de organizações que trabalham com tecnologias militares, incluindo drones, sensores de vigilância e robótica. Pesquisa em Pontos de Controle
Em vez de começar com uma mensagem maliciosa óbvia, os operadores da Lazarus se passam por recrutadores representando empresas de defesa reconhecíveis. Potenciais vítimas são contatadas por meio de serviços profissionais de networking como LinkedIn ou diretamente por e-mail e recebem oportunidades de emprego aparentemente lucrativas. Os atacantes então direcionam a conversa para documentos supostamente ligados ao processo de recrutamento.
O Check Point documentou várias maneiras pelas quais esses arquivos podem levar a um computador Windows comprometido. Em uma cadeia de ataques, a vítima recebe uma coleção de arquivos que inclui um visualizador de PDF legítimo, uma DLL maliciosa e uma carga útil criptografada disfarçada com uma extensão PDF. Abrir o visualizador fornecido faz com que a DLL maliciosa carregue, eventualmente instalando uma backdoor no computador. Enquanto isso, um PDF com aparência autêntica é exibido para fazer a interação parecer normal.
Uma variação separada usa um leitor de PDF modificado fornecido conforme a aplicação precisava para visualizar o suposto documento de trabalho. O programa Trojanizado checa PDFs abertos para um marcador oculto específico. Quando encontra o marcador esperado, extrai código malicioso oculto e carrega uma backdoor diretamente na memória.
Uma vez estabelecida, a backdoor oferece capacidades que incluem execução de comandos e recuperação de arquivos do computador comprometido. Isso torna a conversa inicial sobre o recrutamento mais do que uma tentativa convencional de roubar credenciais de login: a oferta de emprego serve como mecanismo de entrega para malware destinado a estabelecer acesso persistente ao sistema do alvo.
Pesquisadores também encontraram um componente mais avançado na campanha recente envolvendo o CVE-2026-68820, uma vulnerabilidade do Windows. De acordo com a análise da Check Point, a Lazarus explorou a falha para executar o FudModule, um rootkit em modo kernel associado ao grupo, com privilégios SYSTEM. Isso deu aos atacantes um método poderoso para operar em uma máquina Windows já comprometida.
O segmentamento também demonstra como o acesso a uma organização pode ajudar em ataques subsequentes. A Check Point identificou pelo menos um caso em que a reputação e a identidade confiável de uma organização europeia comprometida foram abusadas como parte de tentativas de aproximação de vítimas adicionais.
A própria Operação Dream Job antecede essa onda em particular. A campanha tem se baseado repetidamente em engenharia social com tema de emprego, mas a Check Point afirma que a atividade observada em 2026 combina essas táticas de recrutamento já estabelecidas com métodos de entrega atualizados, malware modular, infraestrutura web comprometida e exploração de uma vulnerabilidade até então desconhecida.
Os alvos atuais são particularmente notáveis porque operam em áreas diretamente conectadas às capacidades de defesa europeias. A investigação do Check Point identificou organizações envolvidas com tecnologia aeroespacial, aeronáutica e militar especializada, em vez de descrever a atividade como uma campanha de phishing indiscriminada.
Microsoft lists vulnerabilidades de segurança afetando seus produtos por meio do Guia de Atualizações de Segurança do Centro de Resposta de Segurança do Microsoft Security Response Center. As últimas descobertas da Operação Dream Job, no entanto, vêm da investigação da Check Point sobre a campanha de Lazarus e seus ataques contra alvos do setor de defesa europeu.
A Check Point atribui a atividade a Lazarus e afirma que suas descobertas mostram que o grupo continua a modificar a Operação Dream Job, em vez de abandonar seu recrutamento estabelecido. Nos ataques documentados durante 2026, o que parece ser uma oportunidade promissora de emprego na indústria de defesa pode, em vez disso, terminar com um sistema Windows comprometido e uma porta dos fundos Lazarus rodando no computador da vítima.