Profissionais dos setores da defesa, aeroespacial e da aviação estão a ser alvo de uma sofisticada campanha de ciberespionagem, denominada “Operation Dream Job”, orquestrada pelo grupo de hackers Lazarus, que está associado à Coreia do Norte.
Uma investigação da Check Point Research revelou que os hackers estão a recorrer a ofertas de emprego fraudulentas e a uma vulnerabilidade “zero day” (dia zero) do Windows para assumirem o controlo total dos computadores das vítimas.
Hackers exploram falha desconhecida do Windows
Nesta campanha, os hackers fazem-se passar por recrutadores de empresas reconhecidas, encaminhando os profissionais para páginas e ficheiros com uma aparência perfeitamente legítima.
Segundo os investigadores, alguns destes sites fraudulentos chegaram a aparecer nos primeiros resultados dos motores de pesquisa, o que ajuda a diminuir os sinais de alerta que os utilizadores normalmente associam a ataques de phishing. O ataque materializa-se quando a vítima é levada a abrir um PDF com uma descrição de emprego convincente ou a instalar um leitor de documentos adulterado.
A investigação detetou atividade associada a este esquema na Europa, Ásia e América do Sul, com registos de incidentes em países como França, Alemanha, Índia e Brasil.
No centro técnico desta operação está a CVE-2026-68820, uma vulnerabilidade até então desconhecida que afeta o controlador AFD.sys do Windows, responsável pela gestão das ligações de rede. Através desta falha, o código malicioso consegue elevar os privilégios até ao nível máximo (SYSTEM) em versões recentes do Windows 11.
Isto permite aos atacantes executarem o “FudModule”, um rootkit capaz de ocultar a intrusão, interferir com os mecanismos de segurança e suprimir registos. A Check Point comunicou a vulnerabilidade à Microsoft a 28 de julho de 2026, tendo a mesma sido corrigida através de uma atualização de segurança disponibilizada no dia 11 de agosto.
Foram observadas duas vias de infeção paralelas. Numa delas, o ficheiro inicial descarrega o malware MISTPEN, que é executado diretamente na memória do computador para escapar à deteção tradicional.
Na segunda via, a vítima instala o “SecurityPDF”, um leitor adulterado que, ao abrir o documento isco, executa de forma silenciosa a “Troy”, uma porta traseira (backdoor) até agora não documentada. Esta porta traseira oferece 17 comandos distintos aos hackers, permitindo-lhes, por exemplo, roubar ficheiros, executar novos comandos ou injetar código diretamente na memória de outros processos em execução.
Para dificultar ainda mais a deteção, o grupo de hackers Lazarus evitou utilizar servidores próprios que seriam facilmente rastreáveis. Em vez disso, os atacantes comprometeram instalações legítimas de plataformas de gestão de conteúdos e servidores Roundcube, tirando partido de vulnerabilidades antigas por corrigir e de credenciais expostas na dark web.
Nestes servidores, instalaram uma ferramenta chamada RelayShell para retransmitir a comunicação. Desta forma, o tráfego malicioso mistura-se com as comunicações habituais dos serviços comprometidos.
“O perigo desta campanha não está apenas na vulnerabilidade zero day, mas na forma como o Lazarus usou infraestruturas legítimas em todas as fases do ataque. Permaneceu oculto atrás de resultados bem posicionados nos motores de pesquisa, marcas reais e organizações já comprometidas. Quando o site, o download e o recrutador parecem autênticos, identificar um link de phishing deixa de ser suficiente. Proteger exige assumir que a confiança pode ser falsificada, corrigir os sistemas sem demora, validar o software através dos canais oficiais e aplicar zero trust também aos sites e parceiros aparentemente legítimos.”
Sergey Shykevich, Diretor de Threat Intelligence da Check Point Software
Sobre o autor
Aproveite a campanha:
