Des chercheurs de Check Point Research ont identifié un nouvel épisode de l’opération « Dream Job », vaste campagne d’espionnage attribuée au groupe nord-coréen Lazarus.

Cette fois, les cyberattaquants ont combiné une ingénierie sociale particulièrement élaborée à l’exploitation d’une vulnérabilité jusque-là inconnue pour pénétrer les réseaux d’entreprises de la défense et de l’aérospatiale en Europe, en Inde et en Amérique du Sud.

Le mode opératoire repose sur de fausses propositions d’embauche censées émaner de grands noms du secteur, notamment Lockheed Martin et l’entreprise spécialisée dans la protection des données Enveil.

Pour rendre la supercherie crédible, les assaillants sont allés jusqu’à créer plusieurs faux sites imitant celui d’Enveil, certains étant suffisamment bien référencés pour apparaître en haut des résultats de recherche.

Les victimes, pensant télécharger des documents ou logiciels depuis une source légitime trouvée via un moteur de recherche, installaient en réalité le programme malveillant des attaquants. Cette approche rend caducs les réflexes classiques de vigilance, puisque ni le recruteur, ni le site, ni le classement Google ne permettaient de déceler la supercherie.

Une cible géopolitique précise

Une fois le piège refermé, un faux lecteur PDF baptisé « SecurityPDF » servait de porte d’entrée pour déployer discrètement une nouvelle porte dérobée modulaire, surnommée « Troy », capable d’exécuter dix-sept commandes différentes selon les instructions des opérateurs.

Parallèlement, les attaquants ont eu recours à une version mise à jour du rootkit FudModule (3.1), qui exploitait une vulnérabilité jusqu’alors inconnue dans le pilote Windows AFD.sys pour obtenir les droits système les plus élevés et désactiver les outils de détection habituellement déployés par les entreprises.

Cette faille, référencée CVE-2026-68820, a été signalée aux équipes de Microsoft, qui l’ont corrigée dans le cadre de leur mise à jour de sécurité mensuelle du 11 août 2026.

Les secteurs visés touchent notamment aux capteurs de surveillance, aux drones et à la robotique militaire. Plusieurs pays sont concernés, dont la France, l’Allemagne, le Brésil et l’Inde. Cette dernière est particulièrement exposée du fait de l’essor rapide de son industrie de défense et d’aérospatiale.

Une infrastructure de commande discrète

Plutôt que de s’appuyer sur des serveurs dédiés facilement repérables, Lazarus a privilégié le détournement d’installations de messagerie web Roundcube et de plateformes de gestion de contenu compromises, en s’appuyant notamment sur une faille connue (CVE-2025-49113, pour laquelle un correctif existe déjà) et sur des identifiants dérobés circulant sur le dark web.

Un nouveau webshell, nommé « RelayShell », a permis de transformer au moins dix-sept serveurs compromis en relais pour les communications entre les machines infectées et les opérateurs du groupe.

Point particulièrement inquiétant relevé par les chercheurs : une organisation française déjà compromise a ensuite été utilisée comme point de départ pour lancer de nouvelles vagues de phishing ciblé à travers le monde, en s’appuyant sur sa réputation pour crédibiliser les nouveaux messages piégés. Une intrusion réussie peut ainsi servir de tremplin à d’autres attaques, bien au-delà de la victime initiale.

Pour Sergey Shykevich, responsable du renseignement sur les menaces chez Check Point Software, le plus inquiétant dans cette campagne n’est pas tant la faille zero-day exploitée que la capacité des attaquants à s’appuyer sur des signaux de confiance habituellement fiables : un bon classement dans les résultats de recherche, l’apparence de marques reconnues, ou encore la réputation d’organisations déjà compromises.

The post Comment Lazarus détourne des offres d’emploi pour infiltrer l’industrie de la défense appeared first on Silicon.fr.