Auf den Punkt: Lazarus kombinierte gefälschte Jobangebote namhafter Rüstungskonzerne mit einer neuen Backdoor und einer Windows-Zero-Day-Schwachstelle (CVE-2026-68820), um sich SYSTEM-Rechte auf Zielsystemen zu verschaffen.
Die nordkoreanische Hackergruppe Lazarus hat in ihrer "Dream Job"-Kampagne Beschäftigte der Rüstungs- und Luftfahrtindustrie in Deutschland, Frankreich und Indien mit gefälschten Stellenangeboten angegriffen. Check Point Research deckte dabei eine bislang unbekannte Backdoor sowie eine mittlerweile gepatchte Zero-Day-Lücke in Windows auf.
Die seit 2020 aktive „Dream Job“-Kampagne der nordkoreanischen Gruppe Lazarus richtete sich in ihrer jüngsten Variante gezielt gegen Beschäftigte von Rüstungs- und Luftfahrtunternehmen in Deutschland, Frankreich und Indien. Check Point Research zufolge lockten die Angreifer Opfer mit vermeintlichen Stellenangeboten bekannter Unternehmen wie Lockheed Martin und Enveil. Die dazugehörigen Webseiten wurden teilweise gezielt suchmaschinenoptimiert, sodass sie bei passenden Google-Suchen weit oben erschienen und wie legitime Karriereportale wirkten.
Wer auf die Angebote reagierte und Bewerbungssoftware herunterlud, etwa einen vermeintlichen PDF-Viewer namens „SecurityPDF“, installierte in Wahrheit einen Trojaner. Im Hintergrund startete die Schadsoftware „Troy“, eine bislang nicht dokumentierte modulare Backdoor mit 17 verschiedenen Befehlen zur Steuerung infizierter Systeme. Zusätzlich setzte Lazarus ein neues FudModule-Rootkit in Version 3.1 ein.
Zentrales Element der Angriffskette war die Windows-Sicherheitslücke CVE-2026-68820 im Microsoft-Treiber AFD.sys. Die zuvor unbekannte Schwachstelle erlaubte den Angreifern, sich SYSTEM-Rechte zu verschaffen und Sicherheitsmechanismen auf den Endgeräten zu umgehen. Check Point Research meldete die Lücke im Rahmen eines Responsible-Disclosure-Verfahrens an Microsoft; der Patch erschien im Rahmen des Patch Tuesday vom 11. August 2026.
Für die Kommunikation zwischen infizierten Systemen und den Angreifern missbrauchte Lazarus kompromittierte Infrastruktur legitimer Organisationen, darunter gehackte Roundcube-Webmail-Installationen und Content-Management-Systeme, teilweise über die noch offene Schwachstelle CVE-2025-49113. Mindestens 17 kompromittierte Server wurden mithilfe einer neuen RelayShell-Webshell als Kommunikationsrelais umfunktioniert, teilweise unter Nutzung von Zugangsdaten aus früheren Dark-Web-Leaks.
Für Sicherheitsverantwortliche in Rüstungs- und Luftfahrtunternehmen ergibt sich daraus ein mehrschichtiges Risiko: Social-Engineering über Karriereportale, unbekannte Malware-Module und die Ausnutzung bereits kompromittierter Drittinfrastruktur als Angriffsplattform. In einem dokumentierten Fall nutzte Lazarus eine bereits infiltrierte Organisation mit Sitz in Frankreich, um von deren Infrastruktur aus weitere Spear-Phishing-Angriffe zu starten – ein Hinweis darauf, dass auch als vertrauenswürdig eingestufte externe Kommunikationspartner als Angriffsvektor dienen können. Unternehmen sollten den Windows-Patch vom 11. August 2026 priorisiert einspielen und Bewerbungsprozesse sowie externe Kommunikationskanäle auf ungewöhnliche Muster überprüfen.
Quelle: www.it-daily.net · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.