Im Zentrum der aktuellen Kampagne steht CVE-2026-68820 mit einem CVSS-Wert von 7,0. Die Schwachstelle betrifft den Windows Ancillary Function Driver for WinSock, also „AFD.sys“, und erlaubt eine Rechteausweitung. Nach Darstellung von Check Point Research nutzt Lazarus die Lücke, um aus einem bereits kompromittierten Kontext SYSTEM-Berechtigungen zu erlangen und damit die weitere Schadsoftware tiefer im System zu verankern.
Wie schon in früheren Wellen von Operation Dream Job werden die Opfer über gefälschte Recruiter-Nachrichten angelockt. Anschließend werden sie dazu gebracht, entweder ein bösartiges PDF zu öffnen oder einen trojanisierten PDF-Betrachter zu installieren. Dieser dient dann als Einfallstor für die neue Hintertür Troy, die den Fernzugriff auf das kompromittierte System ermöglicht. Das Ziel der Eindringlinge ist laut Check Point, die vollständige Kontrolle über infizierte Rechner zu übernehmen und Sicherheitsmechanismen zu umgehen.
Der Einsatz eines trojanisierten PDF-Betrachters ist dabei keine neue Methode. Check Point zufolge verwendet Lazarus diese Taktik im Zusammenhang mit Dream Job bereits seit mindestens 2022. In den jüngsten Angriffen beobachteten die Forscher zwei parallele Infektionsabläufe. MISTPEN lädt dabei mindestens vier unterschiedliche Module.
Zur Verschleierung setzt die Gruppe zudem eine aktualisierte Version ihres bekannten Kernel-Mode-Rootkits ein, das Lazarus laut Check Point ebenfalls seit mindestens 2022 wiederholt verwendet. Die Schadsoftware missbraucht die lokale Rechteausweitung in „AFD.sys“, erlangt SYSTEM-Rechte und injiziert schließlich eine weitere Instanz von MISTPEN in einen SYSTEM-Prozess. So läuft die Malware mit erhöhten Rechten und bleibt Sicherheitswerkzeugen auf dem Host leichter verborgen.
Die neue Variante mit der Bezeichnung FudModule 3.1 erweitert diese Fähigkeiten zusätzlich. Nach Angaben von Check Point kann sie eine Windows-Funktion namens Smart App Control manipulieren, die prüfen soll, ob ein Programm sicher ausgeführt werden kann. „Innerhalb des unter SYSTEM laufenden Kindprozesses msiexec.exe setzt sein entfernter Stub VerifiedAndReputablePolicyState auf null und ruft NtSetSystemInformation der Klasse 0xA4 mit der Option 0x10000000 auf, wodurch die Code-Integritätsrichtlinie direkt neu geladen wird“, erklärte Check Point.
Für die Verbreitung von „SecurityPDF“ sollen die Angreifer außerdem mindestens drei Websites erstellt haben, die Enveil imitieren. Wie diese gefälschten Portale genau in die Social-Engineering-Kampagne eingebunden waren, ist laut Bericht unklar. Check Point vermutet, dass die Täter zunächst das PDF per Phishing-Nachricht verschicken und die Opfer danach auffordern, den PDF-Betrachter von der Website herunterzuladen, um das Dokument anzusehen.
Auffällig ist laut den Forschern auch die Infrastruktur der Kampagne. Statt ausschließlich eigene Systeme aufzubauen, kapert Lazarus legitime, aber kompromittierte WordPress- und SharePoint-Websites sowie verwundbare Roundcube-Webmail-Server als ForestTiger-Kommandoserver. Das erschwert die Unterscheidung von normalem Webverkehr.
Viele der Roundcube-Server waren nach Angaben von Check Point für CVE-2025-49113 anfällig. Die Angreifer nutzten diese Lücke, um eine zuvor nicht dokumentierte PHP-Web-Shell mit dem Codenamen RelayShell zu installieren, über die Befehle und Antworten in Form von Textdateien ausgetauscht werden konnten. In mindestens einem Fall wurde zudem eine bereits kompromittierte Organisation aus Frankreich eingesetzt, um Phishing-Nachrichten an neue Opfer zu versenden und so reputationsbasierte Filter zu umgehen.
Sergey Shykevich, Director of Threat Intelligence bei Check Point Software, erklärte, gefährlich sei an der Kampagne nicht nur die Zero-Day-Schwachstelle, sondern auch, „wie Lazarus in jeder Angriffsphase legitime, vertrauenswürdige Infrastruktur eingewoben hat“. Die Gruppe habe sich „offen sichtbar verborgen, hinter hoch platzierten Suchergebnissen, echtem Anbieter-Branding und dem Ruf von Organisationen, die sie bereits kompromittiert hatte“.
Die neuen Erkenntnisse zeigen laut Check Point, dass Lazarus seine Malware-Fähigkeiten und operativen Methoden weiter ausbaut, während die Grundstruktur von Dream Job in Angriffen auf kritische Sektoren weltweit weitgehend erhalten bleibt.