Nach Angaben von Check Point treten die Angreifer als Personalvermittler auf und sprechen potenzielle Opfer über verbreitete berufliche Plattformen oder direkte Nachrichten-Apps an. Ziel ist es, die Betroffenen zum Herunterladen einer präparierten Datei zu bewegen.

In einer der beobachteten Infektionsketten erhalten Opfer ein Archiv mit einem PDF-Betrachter, einer schädlichen DLL und einer verschlüsselten Nutzlast, die sich als PDF-Datei ausgibt. Per DLL-Sideloading wird der Malware-Downloader Mistpen im Arbeitsspeicher ausgeführt, während auf dem Bildschirm eine Lockvogel-Stellenbeschreibung erscheint.

Danach folgen laut Check Point Aufklärung im kompromittierten System, Mechanismen zur Persistenz und schließlich die Ausnutzung einer bis dahin unbekannten Schwachstelle im Windows-Treiber Ancillary Function Driver for WinSock, also afd.sys. Anschließend wird ForestTiger installiert, eine bereits bekannte Lazarus-Hintertür.

Die nun als CVE-2026-68820 erfasste Lücke in afd.sys ist ein Use-after-free-Fehler. Check Point zufolge können Angreifer damit eine Race Condition auslösen und System-Rechte erlangen. Microsoft schloss die Schwachstelle am 11. August mit den Patch-Tuesday-Updates. CISA ergänzte sie daraufhin in den KEV-Katalog der bereits ausgenutzten Schwachstellen.

Check Point beschreibt außerdem eine zweite Infektionskette. Dabei werden Nutzer zu dem trojanisierten PDF-Betrachter SecurityPDF geführt. Das Programm sucht in jeder auf dem System geöffneten PDF-Datei nach einer versteckten Markierung, um die Hintertür Troy direkt im Arbeitsspeicher auszuführen.

Troy ist dem Bericht zufolge ein neues DLL-Implantat mit 17 Befehlen für die Operatoren. Dazu gehören das Auflisten, Herunterladen und Hochladen von Dateien, die Exfiltration von Daten, Shell-Zugriff, das Beenden von Prozessen und DLL-Injektion.

Auch die Kommando-und-Kontroll-Infrastruktur der Kampagne fällt laut Check Point auf. Beobachtet wurden kompromittierte Roundcube-Webmail-Installationen und CMS-Plattformen, von denen viele für CVE-2025-49113 anfällig gewesen seien. Diese Schwachstelle zur Remotecodeausführung wird seit Juni 2025 ausgenutzt.

Auf diesen Servern fanden die Forscher zudem RelayShell, eine bislang nicht dokumentierte PHP-Webshell. Check Point beschreibt sie nicht als klassische Hintertür, sondern eher als Kommunikationsrelais zwischen infizierten Endpunkten und den Operatoren, das Befehle und Antworten über einfache Textdateien austauscht.

Von der aktuellen Kampagne betroffen sind nach Angaben von Check Point Verteidigungs-, Luft- und Raumfahrt- sowie Luftfahrtorganisationen in Frankreich, Deutschland, Brasilien und Indien. Die Sicherheitsfirma verweist in diesem Zusammenhang auf die August-Updates von Microsoft und auf die von ihr veröffentlichten Indikatoren einer Kompromittierung.