Campanha Dream Job ganha nova arma com exploração de kernel
O grupo norte-coreano Lazarus explorou uma vulnerabilidade de dia zero no Windows para instalar um backdoor inédito batizado de Troy em empresas de defesa e aeroespaciais na França, Alemanha, Brasil e Índia, segundo pesquisa da Check Point.
A operação faz parte da campanha Dream Job, em andamento desde pelo menos 2022, na qual hackers apoiados por Pyongyang abordam profissionais no LinkedIn fingindo ser recrutadores de companhias como Lockheed Martin e Enveil para ganhar confiança e entregar malware por meio de ofertas de emprego falsas.
A falha explorada é a CVE-2026-68820, com pontuação CVSS 7.0, que afeta o driver auxiliar de função do Windows para WinSock (AFD.sys) e foi corrigida pela Microsoft no Patch Tuesday de agosto de 2026; a Check Point informou ter reportado o problema no final de julho, embora tenha observado exploração bem-sucedida já no início de junho.
As vítimas são atraídas por mensagens de recrutadores falsos e induzidas a abrir um PDF malicioso ou instalar um visualizador de PDF trojanizado chamado SecurityPDF, que carrega o backdoor Troy; os pesquisadores identificaram duas sequências de infecção paralelas, sendo que a MISTPEN carrega pelo menos quatro módulos diferentes.
A cadeia de ataque utiliza uma versão atualizada do rootkit em modo kernel FudModule 3.1, empregado pelo Lazarus desde 2022 para ocultar ferramentas maliciosas; o exploit no AFD.sys concede privilégios SYSTEM, permitindo injetar outra instância do MISTPEN em um