El grupo Lazarus de Corea del Norte utiliza ofertas de empleo falsas en LinkedIn para atacar empresas de defensa y aeroespaciales en varios países. Emplean un fallo de seguridad zero-day en Windows y visores de PDF maliciosos para instalar puertas traseras y robar datos sensibles. La campaña destaca por su sofisticación al suplantar identidades corporativas y usar infraestructura legítima comprometida para evadir la detección.







El actor de amenazas norcoreano conocido como Lazarus Group ha sido atribuido a la explotación de un día cero de un fallo de seguridad recién parcheado que afecta a Microsoft Windows para entregar un backdoor nunca antes visto dirigido a empresas de defensa y aeroespaciales en Francia, Alemania, Brasil e India.

La actividad, según Check Point Research, es parte de la Operación Dream Job, una campaña de ciberespionaje e ingeniería social de larga duración orquestada por hackers respaldados por Pyongyang para dirigirse a profesionales de todo el mundo con ofertas de trabajo falsas pero convincentes en firmas como Lockheed Martin y Enveil para robar datos sensibles e instalar malware acercándose a ellos en plataformas como LinkedIn, fingiendo ser reclutadores en un intento de generar confianza.

Se ha descubierto que los ataques explotan el CVE-2026-68820 (puntuación CVSS: 7.0), un fallo de escalada de privilegios que afecta al controlador de función auxiliar de Windows para WinSock ("AFD.sys") que fue parcheado por Microsoft como parte de sus actualizaciones de Patch Tuesday de agosto de 2026.

Como se observó en oleadas de campañas anteriores, las víctimas son atraídas a través de mensajes de reclutadores falsos y engañadas para abrir un PDF malicioso o instalar un visor de PDF troyanizado, que luego se utiliza para instalar un nuevo backdoor llamado Troy que concede acceso remoto a la máquina comprometida. El objetivo final de estas intrusiones es tomar el control total de los ordenadores infectados y eludir los controles de seguridad.

El uso de un visor de PDF troyanizado es una táctica probada y comprobada adoptada por el Lazarus Group en conjunto con Dream Job, abusando los actores de amenazas de este método desde el año 2022.

Se han detectado dos secuencias de infección paralelas diferentes como parte de los últimos ataques:

* DLL side-loading, en el cual se instruye a las víctimas a descargar un archivo cifrado que se utiliza para activar una cadena de carga lateral de DLL. La DLL maliciosa ("libmupdf.dll") se usa para mostrar un señuelo de descripción de trabajo falso, mientras descarga y ejecuta sigilosamente en memoria un descargador ligero llamado MISTPEN. El descargador se comunica con la infraestructura controlada por el actor de amenazas utilizando Microsoft Graph API y OneDrive para recuperar y ejecutar módulos de reconocimiento y persistencia y activar el exploit del controlador "AFD.sys", antes de desplegar ForestTiger (también conocido como ScoringMathTea), que proporciona acceso remoto al host.
* Visor de PDF "SecurityPDF" troyanizado, en el cual se instruye a las víctimas a descargar SecurityPDF desde un sitio web que suplanta a Enveil. Una vez instalado, monitorea cualquier documento PDF abierto a través de él en busca de un marcador especial ("This document is encrypted with sumatrapdf reader!!!!!!!!!!!!"). Si dicho marcador está presente, la aplicación descifra y lanza una carga útil integrada que es responsable de cargar un backdoor llamado Troy directamente en la memoria. El implante DLL soporta 17 comandos de operador para facilitar la enumeración de archivos, carga y descarga, archivo y exfiltración, acceso a shell interactiva, terminación de procesos, inyección de DLL en memoria y actualizaciones de configuración.


Descripción general de alto nivel de la cadena de infección por carga lateral de DLL.

MISTPEN, por su parte, carga al menos cuatro módulos diferentes:

* GetInfoPlugin ("Release_GetInfoPlugin_x64.dll"), para perfilar el host y exfiltrar la información recopilada como una única cadena de caracteres anchos.
* PvPlugin ("Release_PvPlugin_x64.dll"), para recopilar datos de reconocimiento del host y detalles sobre los procesos en ejecución.
* OneScreenCapture ("OneScreenCapture64.dll"), para tomar capturas de pantalla del escritorio actual, incluyendo todos los monitores, y transmitirlas como imágenes JPEG.
* Cargador LPE (escalada de privilegios locales), que reúne información del host, genera nuevo material de claves utilizando el algoritmo de encapsulación de claves post-cuánticas ML-KEM y utiliza la clave negociada durante el proceso de saludo para descifrar y ejecutar FudModule.

La cadena de ataque emplea una versión actualizada del rootkit conocido en modo kernel que el Lazarus Group ha empleado repetidamente desde al menos 2022 para ocultar la presencia de herramientas maliciosas del software de seguridad instalado en el host.


Uno de los sitios web que aparecen en los primeros resultados de los motores de búsqueda para "Enveil SecurityPDF"

Específicamente, explota una vulnerabilidad de escalada de privilegios locales en "AFD.sys", obtiene privilegios de SYSTEM y, finalmente, inyecta otra instancia de MISTPEN en un proceso de SYSTEM para permitirle ejecutarse con privilegios elevados y lejos de la vista de las herramientas de seguridad. La versión más reciente, llamada FudModule 3.1, mejora a su predecesora al permitirle manipular una función de Windows llamada Smart App Control diseñada para verificar si un programa es seguro para ejecutarse.

"Dentro del proceso hijo msiexec.exe a nivel de SYSTEM, su stub remoto establece VerifiedAndReputablePolicyState en cero e invoca NtSetSystemInformation clase 0xA4 con la opción 0x10000000, activando una recarga en el lugar de la política de integridad del código", dijo Check Point en su informe.

Es más, se dice que los atacantes han creado al menos tres sitios web suplantando a Enveil para distribuir "SecurityPDF", aunque no está claro cómo se incorporaron estos portales falsos en la campaña de ingeniería social. Se sospecha que el adversario envía primero el PDF a través de un mensaje de phishing y luego insta a las víctimas a descargar el visor de PDF desde el sitio para ver el documento.

Los nombres de dominio se enumeran a continuación:

* envell[.]xyz
* enveil[.]online
* uxtramine[.]org

Lo notable es que la campaña, en lugar de levantar su propia infraestructura a medida, secuestra sitios web legítimos pero comprometidos de WordPress y SharePoint y servidores de webmail Roundcube vulnerables para usarlos como servidores de comando y control (C2) de ForestTiger, haciendo que sea mucho más difícil diferenciarlo del tráfico web normal.

Se ha descubierto que muchos de los servidores Roundcube son vulnerables al CVE-2025-49113, y los atacantes lo aprovechan para infectarlos con una web shell de PHP previamente no documentada con el nombre en código RelayShell para permitir el intercambio de comandos y respuestas en forma de archivos de texto. En al menos un caso, una organización con sede en Francia ya vulnerada fue utilizada para enviar mensajes de phishing a nuevas víctimas para eludir los filtros basados en la reputación.

Los últimos hallazgos muestran que el Lazarus Group continúa perfeccionando sus capacidades de malware y su metodología, manteniendo los cimientos de Dream Job prácticamente intactos en ataques dirigidos a sectores críticos de todo el mundo.

"Lo que hace que esta campaña sea tan peligrosa no es solo la vulnerabilidad de día cero, sino también cómo Lazarus entrelazó infraestructura legítima y confiable en cada etapa del ataque", dijo Sergey Shykevich, director de inteligencia de amenazas de Check Point Software, en una declaración compartida con The Hacker News. "Se escondieron a plena vista, detrás de resultados de búsqueda posicionados, marcas reales de proveedores y la reputación de organizaciones que ya habían comprometido.

"Cuando el sitio web, la descarga y el reclutador parecen auténticos, el viejo consejo de 'detectar el enlace de phishing' ya no es fácilmente aplicable. Mantenerse seguro ahora significa asumir que la confianza misma puede ser falsificada: parchea en el momento en que lleguen las actualizaciones, verifica el software a través de canales oficiales en lugar de rankings de búsqueda, y extiende el pensamiento de confianza cero a los sitios y socios de apariencia legítima con los que interactúas cada día".

Fuente:
THN