Im Zentrum der aktuellen Angriffe steht laut Microsoft die Schwachstelle CVE-2026-68820. Der Hersteller beschreibt sie als Use-after-free in AFD.sys, dem Windows Ancillary Function Driver for WinSock. Ausgenutzt wird sie zur lokalen Privilegienausweitung: Ein bereits lokal authentifizierter Nutzer kann mit einer speziell gestalteten Anwendung eine Race Condition auslösen und sich so SYSTEM-Rechte verschaffen.
Check Point berichtet, dass Lazarus den Exploit in eine neue Version des Kernel-Mode-Rootkits FudModule integriert hat. Diese Variante unterstütze gezielt Windows-11-Builds 26100 und 26200 und diene dazu, die Rechte auf kompromittierten Systemen anzuheben. Es ist laut den Forschern nicht das erste Mal, dass Lazarus eine 0-Day-Lücke in AFD.sys verwendet, um FudModule zu installieren.
Die aktuelle Welle von Operation Dream Job richtet sich nach Angaben von Check Point gegen Organisationen aus den Bereichen Verteidigung, Luft- und Raumfahrt sowie Luftfahrt in Europa und Indien. Die Angreifer setzen dabei auf betrügerische Stellenangebote für Mitarbeiter der Zielorganisationen. In mindestens einem Fall kompromittierte die Gruppe laut dem Bericht eine Organisation in Frankreich und nutzte sie anschließend für Spear-Phishing-Angriffe auf weitere Ziele.
Check Point zufolge verfügt die neueste FudModule-Version weiterhin über bereits dokumentierte Fähigkeiten wie das Abschalten von EDR-Telemetrie und Eingriffe in Sicherheitsprodukte. Neu hinzugekommen sei die Manipulation von Smart App Control. Zudem hätten die Angreifer eine neue Hintertür namens Troy eingesetzt, die 17 Befehle unterstütze.
Parallel dazu beobachteten die Forscher Scans auf verwundbare Roundcube-Installationen. Diese Systeme wurden anschließend mit einer neuen PHP-Webshell kompromittiert, die Check Point RelayShell nennt. Nach Einschätzung der Forscher nutzte der Angreifer wahrscheinlich geleakte Zugangsdaten, um sich zunächst bei Roundcube zu authentifizieren und anschließend CVE-2025-49113 auszunutzen. Dabei handelt es sich um eine authentifizierte PHP-Objektdeserialisierungs-Schwachstelle, über die sich Remotecodeausführung erreichen ließ.
Anhand der von ihnen ausgelesenen Kennungen identifizierten die Forscher mindestens 17 mit RelayShell infizierte Server. Nach Darstellung von Check Point lag der Schwerpunkt der Kampagne klar auf dem Verteidigungssektor, insbesondere auf Organisationen, die an militärischen Technologien wie Überwachungssensoren, Drohnen und Robotik arbeiten. Die Aktivitäten reichten demnach weltweit, auch nach Südamerika einschließlich Brasilien; erfolgreiche Angriffe beobachteten die Forscher in Westeuropa, darunter in Frankreich und Deutschland.
Als weiteres Merkmal der aktuellen Operation nennen die Forscher die Nutzung legitimer Web-Infrastruktur, um die schädliche Kommunikation zu verbergen. Konkret missbrauchte der Angreifer kompromittierte Roundcube-Instanzen. Check Point hat zu den Angriffen eine Liste von Kompromittierungsindikatoren sowie eine YARA-Regel zur Erkennung der RelayShell-Webshell veröffentlicht.