Uma nova onda de ataques cibernéticos orquestrada pelo infame grupo hacker Lazarus, vinculado à Coreia do Norte, colocou em alerta máximo profissionais de infraestrutura e segurança da informação em todo o mundo.
Descoberta por pesquisadores da Check Point Research, a campanha combina táticas sofisticadas de engenharia social com a exploração de uma vulnerabilidade no windows de nível zero-day.
O principal alvo dessas operações foca no setor aeroespacial e de defesa, englobando organizações localizadas em países como França, Alemanha, Índia e Brasil.
Historicamente conhecida como Operação Dream Job, a estratégia do grupo baseia-se na abordagem direta de profissionais do setor de tecnologia e engenharia por meio de perfis falsos em redes corporativas.
Os atacantes criam ofertas de emprego altamente atraentes, simulando processos seletivos para grandes empresas internacionais do setor de tecnologia e defesa. Porém, por trás da promessa profissional, oculta-se um ecossistema complexo de malwares projetado para penetrar em redes corporativas altamente protegidas.
A mecânica da Engenharia Social na Operação Dream Job
A abordagem inicial dos invasores ocorre predominantemente via LinkedIn e aplicativos de mensagem instantânea, onde recrutadores fictícios estabelecem contato com os alvos.
Após conquistarem a confiança dos profissionais, os criminosos enviam arquivos compactados contendo supostos testes técnicos ou descrições detalhadas da oportunidade de trabalho.
No entanto, o arquivo fornecido carrega leitores de PDF adulterados, como o chamado SecurityPDF, desenvolvido a partir de bibliotecas de código aberto.
Ao abrir o documento no leitor infectado, o usuário visualiza uma proposta real de empresas renomadas, como a Lockheed Martin ou a Enveil. Paralelamente, o software executa um ataque de carregamento lateral de biblioteca (DLL sideloading).
Esse processo instala silenciosamente o downloader em memória denominado MISTPEN, que inicia o mapeamento do sistema infectado e estabelece comunicação direta com a infraestrutura mantida pelos invasores.
A exploração técnica da vulnerabilidade no Windows
O aspecto mais alarmante reportado pelos analistas reside na utilização de uma falha de escalação de privilégios locais previamente desconhecida. Identificada como CVE-2026-68820, essa vulnerabilidade afeta o driver afd.sys do Windows, responsável pela gestão de soquetes de rede no kernel do sistema operacional. Certamente, essa escolha tática reflete a alta capacidade de desenvolvimento do grupo Lazarus para burlar proteções tradicionais.
Através de uma condição de corrida do tipo use-after-free, o exploit permite que um processo sem privilégios especiais atinja o nível SYSTEM, concedendo acesso total à máquina afetada.
A partir dessa elevação, os invasores ganham capacidade para instalar artefatos mais agressivos, manipular serviços internos e desabilitar ferramentas de detecção e resposta em endpoints (EDR).
- Vulnerabilidade Explorada: CVE-2026-68820 no driver afd.sys do Windows.
- Impacto Principal: Elevação local de privilégios para o nível SYSTEM.
- Componentes Maliciosos: Downloader MISTPEN, backdoor Troy e rootkit FudModule v3.1.
- Sistemas Alvo: Redes dos setores de defesa, aeroespacial, sensores e robótica.
Criptografia pós-quântica e técnicas de evasão avançadas
A análise detalhada da carga maliciosa revelou inovações significativas no tráfego de comando e controle (C2). O downloader MISTPEN utiliza a API do Microsoft Graph e serviços do OneDrive para camuflar suas conexões em meio ao tráfego legítimo de nuvem. No entanto, o que surpreendeu os pesquisadores foi a implementação de um aperto de mão que utiliza criptografia pós-quântica.
Antes de baixar o módulo de exploração da vulnerabilidade zero-day, o malware negocia chaves públicas através do algoritmo Kyber/ML-KEM, padrão estabelecido pelo NIST para resistir à computação quântica.
Esse canal seguro carrega uma camada adicional de criptografia GOST-CBC, garantindo a entrega do rootkit FudModule v3.1. Uma vez ativo no kernel, o rootkit neutraliza o NT Kernel Logger, desativa gatilhos de telemetria e cega até 94 provedores do Event Tracing for Windows (ETW), tornando o ataque invisível para a maioria das soluções de segurança.
Infraestrutura de retransmissão e o papel das organizações
Para evitar o rastreamento de suas infraestruturas originais, o grupo Lazarus não utiliza servidores C2 próprios diretos na fase inicial.
Em vez disso, a organização comprometeu dezenas de servidores de terceiros ao redor do mundo, explorando falhas conhecidas em sistemas como serviços de webmail Roundcube, e plataformas como WordPress e PrestaShop. Nesses locais, implantaram o RelayShell, um script PHP que funciona como um nó bidirecional de retransmissão.
Diante da gravidade, a Microsoft disponibilizou a correção para a falha CVE-2026-68820 na atualização de segurança da última terça-feira de patches. Órgãos internacionais de cibersegurança emitiram alertas urgentes para que empresas do setor estratégico apliquem os patches de correção de forma imediata.
Certamente, a combinação de engenharia social refinada com explorações de dia zero demonstra que a conscientização de colaboradores e a gestão rigorosa de vulnerabilidades permanecem como os pilares essenciais para a defesa cibernética.
