Il gruppo Lazarus, legato alla Corea del Nord, ha impiegato una vulnerabilità zero-day in Windows e un meccanismo di scambio chiavi post-quantistico per colpire aziende nei settori della difesa e aerospaziale. L'attacco, denominato Operation Dream Job, mirava a rubare informazioni sensibili attraverso sofisticate tecniche di evasione.
Il noto gruppo di cybercriminali Lazarus, associato alla Corea del Nord, è stato individuato mentre utilizzava una vulnerabilità zero-day in Windows, combinata con tecniche di crittografia avanzata, per condurre una campagna di spionaggio mirata. L'operazione, ribattezzata Operation Dream Job, ha preso di mira aziende operanti nei settori della difesa e aerospaziale in Europa e India, con l'obiettivo di infiltrarsi nelle loro reti e sottrarre dati sensibili.
La campagna si è distinta per l'uso di un exploit zero-day (CVE-2026-68820), una vulnerabilità precedentemente sconosciuta e non corretta, che interessava il driver AFD.sys di Windows, responsabile della gestione dei socket di rete nel kernel del sistema operativo. Questa falla, classificata come una race condition use-after-free, è stata l'unica vulnerabilità segnalata da Microsoft come attivamente sfruttata durante il Patch Tuesday di agosto. Check Point Research ha scoperto e segnalato la falla a Microsoft il 28 luglio, pubblicando la sua analisi il giorno stesso in cui è stata rilasciata la patch correttiva.
L'infezione iniziale avveniva tramite MISTPEN, un downloader che opera interamente in memoria. Questo malware comunica con i server controllati dagli attaccanti attraverso file ospitati su OneDrive, sfruttando l'API Microsoft Graph. Dopo le fasi di ricognizione e mantenimento della persistenza, MISTPEN caricava un modulo specifico per recuperare l'exploit di escalation dei privilegi.
Una delle innovazioni più significative riscontrate è l'utilizzo di un meccanismo di scambio chiavi basato su Kyber/ML-KEM, uno schema di key encapsulation standardizzato dal NIST nel 2024. Questo algoritmo è progettato per resistere agli attacchi dei futuri computer quantistici. Il malware richiedeva quattro chiavi pubbliche dal server di comando, le utilizzava per generare nuovo materiale crittografico, lo incapsulava con Kyber e inviava il risultato prima di richiedere l'exploit vero e proprio, che veniva poi decrittografato ed eseguito in memoria. A questo si aggiungeva un ulteriore livello di crittografia GOST-CBC sui dati trasmessi, oltre alla crittografia AES già utilizzata da MISTPEN per il trasporto.
Una volta ottenuto l'accesso, Lazarus installava FudModule, un kernel rootkit già noto, nella sua versione 3.1. Questo sofisticato malware è in grado di disabilitare i callback di telemetria, rimuovere i minifilter (componenti di sicurezza), interrompere il NT Kernel Logger e oscurare l'attività di 94 provider di Event Tracing for Windows (ETW). Una nuova funzionalità rilevata è la manipolazione dello Smart App Control di Windows, che viene reimpostato per forzare un ricaricamento dell'integrità del codice e aggirare le protezioni.
Lazarus ha dimostrato una notevole abilità nell'occultare la propria infrastruttura di Command and Control (C2). Il gruppo ha utilizzato prevalentemente server compromessi, tra cui server di webmail Roundcube sfruttati tramite la vulnerabilità CVE-2025-49113 e siti PrestaShop violati. Le credenziali per accedere a questi server sembrano provenire da database rubati e venduti sul dark web. Su questi server compromessi, Lazarus deployava RelayShell, un webshell PHP precedentemente sconosciuto che funge da intermediario per inoltrare messaggi tra gli operatori e le vittime, utilizzando file di sessione. Check Point ha identificato almeno 17 server di inoltro compromessi.
Anche i metodi di distribuzione iniziale sono stati affinati. Il gruppo ha creato almeno tre siti web che imitavano Enveil, un noto fornitore di tecnologie per la privacy, riuscendo a posizionarsi in cima ai risultati di ricerca. Questi siti distribuivano un visualizzatore PDF trojanizzato, il quale eseguiva un payload nascosto all'interno di documenti appositamente creati. Questo payload era Troy, un backdoor inedito in grado di eseguire 17 comandi impartiti dagli operatori.
L'operazione Dream Job evidenzia la crescente sofisticazione del gruppo Lazarus, che continua a evolvere le proprie tattiche, tecniche e procedure (TTP) per condurre operazioni di spionaggio su larga scala, sfruttando vulnerabilità zero-day e adottando tecnologie crittografiche all'avanguardia per eludere il rilevamento.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
