Grupo Lazarus consegue controlo total sobre computadores Windows. E tudo parece verdadeiro, desde o primeiro momento.
Chama-se Operation Dream Job. É uma campanha de ciberespionagem atribuída ao grupo Lazarus, associado à Coreia do Norte. Atacou na Europa, Ásia e América do Sul.
Segundo a Check Point, esta operação centra-se em falsas ofertas de emprego para atingir profissionais dos setores da defesa, aeroespacial e aviação.
A campanha teve como foco organizações ligadas a tecnologias militares, entre as quais sensores de vigilância, drones e robótica.
Os criminosos simulam que são recrutadores, que querem contratar, mas encaminham as vítimas para sites maliciosos; em alguns casos, os sites fraudulentos surgiam entre os primeiros resultados dos motores de pesquisa.
A vulnerabilidade, que não se conhecia até agora, é a CVE-2026-68820. É instalado código malicioso no computador e o atacante chega a conseguir controlo total do computador.
Este processo parece sempre credível: é enviada uma descrição de emprego convincente, surge um PDF, uma biblioteca maliciosa e um payload disfarçado de documento. Ao abrir o programa, o malware MISTPEN já está a ser executado diretamente na memória.
Depois disso, a vítima instala o SecurityPDF, uma versão adulterada de um leitor de PDF. Ao detetar uma marca escondida num documento preparado pelos atacantes, o programa descodifica e executa a porta traseira Troy sem alertar o utilizador.
A Troy, porta traseira modular até agora não documentada, permite ao criminoso ter 17 comandos: enumeração de discos e diretórios, envio e extração de ficheiros, criação e terminação de processos, execução de comandos, alteração da configuração e injeção de bibliotecas diretamente na memória de outros processos, entre outros.
Uma das empresas atacadas, em França, começou depois a enviar mensagens de phishing a alvos em vários países. Como o email vinha de uma empresa conhecida, novas vítimas terão sido enganadas.
O grupo Lazarus usou infraestruturas legítimas em todas as fases do ataque. E esta campanha tornou-se assim mais perigosa.
A Check Point Research comunicou a falha à Microsoft a 28 de julho. A vulnerabilidade foi corrigida nesta terça-feira, na atualização de segurança de 11 de agosto.
(ZAP )