Il gruppo Lazarus, noto per operazioni di cyber spionaggio legate alla Corea del Nord, è stato associato allo sfruttamento di una vulnerabilità zero-day di Windows per ottenere privilegi SYSTEM e distribuire una nuova backdoor. La campagna prende di mira aziende dei settori difesa e aerospazio in diversi paesi, tra cui Francia, Germania, Brasile e India, e si inserisce nel filone di attacchi basati su ingegneria sociale conosciuto come Operation Dream Job.
Il metodo rimane coerente con le tattiche già osservate negli anni: i bersagli vengono contattati con offerte di lavoro credibili e messaggi che imitano il linguaggio dei recruiter. L’obiettivo è convincere la vittima ad aprire un PDF malevolo o a installare un visualizzatore PDF compromesso. Una volta eseguita la prima fase, gli attaccanti avviano una catena di infezione che porta al controllo remoto del sistema e alla sottrazione di dati sensibili, cercando anche di aggirare i controlli di sicurezza.
Il punto tecnico chiave è la falla CVE-2026-68820, una vulnerabilità di escalation dei privilegi che coinvolge il driver Windows AFD.sys. Dopo la correzione rilasciata con gli aggiornamenti di agosto 2026, è emerso che Lazarus l’avrebbe utilizzata come zero-day per elevare i privilegi fino a SYSTEM e rendere più efficace la persistenza. Sono state osservate due sequenze di infezione parallele.
Prima sequenza di infezione (DLL side-loading)
La prima sfrutta il DLL side-loading: un archivio cifrato avvia una catena in cui una DLL malevola mostra un documento esca e, in background, scarica ed esegue in memoria un downloader chiamato MISTPEN, che comunica tramite Microsoft Graph API e OneDrive per recuperare moduli di ricognizione e persistenza e attivare lo sfruttamento del driver.
Seconda sequenza di infezione (finto lettore SecurityPDF)
La seconda sequenza utilizza un finto lettore chiamato SecurityPDF distribuito da siti che imitano un fornitore reale. Il programma controlla i PDF aperti alla ricerca di un marcatore specifico e, se presente, decritta e avvia un payload che carica in memoria la backdoor Troy. Questa backdoor supporta numerosi comandi operativi, tra cui enumerazione file, upload e download, archiviazione ed esfiltrazione, shell interattiva, terminazione processi e iniezione di DLL in memoria.
Un ulteriore elemento critico è l’uso di infrastrutture legittime compromesse, come siti WordPress e SharePoint, e server Roundcube vulnerabili, per ospitare componenti e canali di comando e controllo, rendendo più difficile distinguere il traffico malevolo da quello normale.