Check Point Research has identified a new phase of Lazarus’s long-running “Dream Job” espionage campaign, showing the North Korean group combining highly polished social engineering with a previously unknown vulnerability to break into defense and aerospace companies in Europe, India and South America.

The operation relied on fake job offers supposedly coming from major industry names such as Lockheed Martin and data-protection specialist Enveil. To make the lure convincing, the attackers created multiple counterfeit Enveil websites, some of which were well optimized enough to rank near the top of search results. Victims who believed they were downloading legitimate documents or software from a search engine result were in fact installing malware. The scheme was designed to defeat standard caution: neither the recruiter identity, nor the website, nor Google’s ranking gave away the deception.

Once the victim was trapped, a fake PDF reader called SecurityPDF acted as the initial entry point for a stealthy modular backdoor named Troy, which can execute 17 different commands depending on operator instructions. In parallel, Lazarus deployed an updated version of the FudModule rootkit, version 3.1, which exploited an unknown flaw in the Windows AFD.sys driver to gain the highest system privileges and disable the detection tools typically used by enterprises. The vulnerability, tracked as CVE-2026-68820, was reported to Microsoft and patched in its monthly security update on 11 August 2026.

The targeting reflects clear geopolitical priorities. The affected sectors include surveillance sensors, drones and military robotics, with France, Germany, Brazil and India among the countries hit. India stands out as especially exposed because of the rapid expansion of its defense and aerospace industries.

On the infrastructure side, Lazarus avoided obvious dedicated command servers and instead hijacked compromised Roundcube webmail installations and content management platforms. The group relied in part on a known flaw, CVE-2025-49113, for which a fix already exists, as well as stolen credentials circulating on the dark web. A new webshell called RelayShell turned at least 17 compromised servers into relays for communications between infected machines and the group’s operators.

Researchers also found that one compromised French organization was later used as a launchpad for new waves of targeted phishing worldwide, leveraging its reputation to make fresh malicious messages appear trustworthy. That makes the campaign especially concerning: a successful intrusion can become an operational springboard for further attacks far beyond the original victim.

For Sergey Shykevich, threat intelligence lead at Check Point Software, the most alarming aspect is not the zero-day itself but Lazarus’s ability to weaponize signals that users and security teams normally trust — strong search rankings, the look of well-known brands, and the reputation of already compromised organizations.

Des chercheurs de Check Point Research ont identifié un nouvel épisode de l’opération « Dream Job », vaste campagne d’espionnage attribuée au groupe nord-coréen Lazarus.

Cette fois, les cyberattaquants ont combiné une ingénierie sociale particulièrement élaborée à l’exploitation d’une vulnérabilité jusque-là inconnue pour pénétrer les réseaux d’entreprises de la défense et de l’aérospatiale en Europe, en Inde et en Amérique du Sud.

Le mode opératoire repose sur de fausses propositions d’embauche censées émaner de grands noms du secteur, notamment Lockheed Martin et l’entreprise spécialisée dans la protection des données Enveil.

Pour rendre la supercherie crédible, les assaillants sont allés jusqu’à créer plusieurs faux sites imitant celui d’Enveil, certains étant suffisamment bien référencés pour apparaître en haut des résultats de recherche.

Les victimes, pensant télécharger des documents ou logiciels depuis une source légitime trouvée via un moteur de recherche, installaient en réalité le programme malveillant des attaquants. Cette approche rend caducs les réflexes classiques de vigilance, puisque ni le recruteur, ni le site, ni le classement Google ne permettaient de déceler la supercherie.

Une cible géopolitique précise

Une fois le piège refermé, un faux lecteur PDF baptisé « SecurityPDF » servait de porte d’entrée pour déployer discrètement une nouvelle porte dérobée modulaire, surnommée « Troy », capable d’exécuter dix-sept commandes différentes selon les instructions des opérateurs.

Parallèlement, les attaquants ont eu recours à une version mise à jour du rootkit FudModule (3.1), qui exploitait une vulnérabilité jusqu’alors inconnue dans le pilote Windows AFD.sys pour obtenir les droits système les plus élevés et désactiver les outils de détection habituellement déployés par les entreprises.

Cette faille, référencée CVE-2026-68820, a été signalée aux équipes de Microsoft, qui l’ont corrigée dans le cadre de leur mise à jour de sécurité mensuelle du 11 août 2026.

Les secteurs visés touchent notamment aux capteurs de surveillance, aux drones et à la robotique militaire. Plusieurs pays sont concernés, dont la France, l’Allemagne, le Brésil et l’Inde. Cette dernière est particulièrement exposée du fait de l’essor rapide de son industrie de défense et d’aérospatiale.

Une infrastructure de commande discrète

Plutôt que de s’appuyer sur des serveurs dédiés facilement repérables, Lazarus a privilégié le détournement d’installations de messagerie web Roundcube et de plateformes de gestion de contenu compromises, en s’appuyant notamment sur une faille connue (CVE-2025-49113, pour laquelle un correctif existe déjà) et sur des identifiants dérobés circulant sur le dark web.

Un nouveau webshell, nommé « RelayShell », a permis de transformer au moins dix-sept serveurs compromis en relais pour les communications entre les machines infectées et les opérateurs du groupe.

Point particulièrement inquiétant relevé par les chercheurs : une organisation française déjà compromise a ensuite été utilisée comme point de départ pour lancer de nouvelles vagues de phishing ciblé à travers le monde, en s’appuyant sur sa réputation pour crédibiliser les nouveaux messages piégés. Une intrusion réussie peut ainsi servir de tremplin à d’autres attaques, bien au-delà de la victime initiale.

Pour Sergey Shykevich, responsable du renseignement sur les menaces chez Check Point Software, le plus inquiétant dans cette campagne n’est pas tant la faille zero-day exploitée que la capacité des attaquants à s’appuyer sur des signaux de confiance habituellement fiables : un bon classement dans les résultats de recherche, l’apparence de marques reconnues, ou encore la réputation d’organisations déjà compromises.

The post Comment Lazarus détourne des offres d’emploi pour infiltrer l’industrie de la défense appeared first on Silicon.fr.