Operation Dream Job: Lazarus greift deutsche Rüstungsmitarbeiter an

Nordkoreanische Hacker verbinden gefälschte Stellenangebote, manipulierte Suchergebnisse und kompromittierte Infrastruktur zu einer ungewöhnlich ausgefeilten Angriffskette. Auch Beschäftigte deutscher Rüstungs- und Luftfahrtunternehmen gerieten ins Visier. Ein bislang unbekannter Windows-Zero-Day verschaffte den Angreifern dabei SYSTEM-Rechte und half, Sicherheitssoftware auszuschalten.

Die Lazarus-Gruppe setzt bei ihrer seit Jahren laufenden „Operation Dream Job “ erneut auf ein Angriffsszenario, das technische Raffinesse mit Social Engineering verbindet. Check Point Research hat eine aktuelle Angriffswelle analysiert, die sich vor allem gegen Unternehmen aus den Bereichen Verteidigung, Luft- und Raumfahrt sowie Aviation richtet. Erfolgreiche Angriffe beziehungsweise Zielaktivitäten wurden unter anderem in Deutschland und Frankreich beobachtet; auch Indien spielt in der aktuellen Kampagne eine wichtige Rolle.

Das Prinzip ist ebenso einfach wie wirkungsvoll: Beschäftigte erhalten vermeintlich attraktive Jobangebote bekannter Unternehmen. Hinter den Angeboten stehen jedoch keine Recruiter, sondern Angreifer, die ihre Opfer zur Installation manipulierter Software bewegen wollen.

Gefälschte Jobs werden zum Einfallstor

„Operation Dream Job“ ist kein neues Phänomen. Lazarus nutzt attraktive Stellenangebote bereits seit Jahren, um gezielt Mitarbeiter interessanter Unternehmen anzusprechen. In der aktuellen Angriffswelle wurden unter anderem Jobbeschreibungen verwendet, die bekannte Unternehmen aus der Verteidigungs- und Technologiebranche imitierten.

Bemerkenswert ist, wie stark Lazarus inzwischen in die Glaubwürdigkeit seiner Köder investiert. Check Point identifizierte mindestens drei Websites, die sich als das US-Unternehmen Enveil ausgaben und einen manipulierten PDF-Viewer verbreiteten. Einige dieser Seiten waren so gut für Suchmaschinen optimiert, dass sie bei relevanten Suchanfragen weit oben beziehungsweise teilweise an erster Stelle der Ergebnisse auftauchten.

Damit wird klassische Phishing-Erkennung teilweise umgangen. Das Opfer muss nicht zwangsläufig einen offensichtlich verdächtigen Download-Link aus einer E-Mail öffnen. Es kann selbst über eine Suchmaschine nach der vermeintlich benötigten Software suchen – und trotzdem direkt bei der Infrastruktur der Angreifer landen. Gerade darin liegt eine wichtige Entwicklung: Suchmaschinen-Rankings werden zunehmend selbst Bestandteil der Angriffskette.

Trojanisierter PDF-Viewer installiert neue Troy-Backdoor

Eine der von Check Point dokumentierten Infektionsketten nutzt einen manipulierten PDF-Viewer namens „SecurityPDF“. Dabei handelt es sich um eine veränderte Variante eines legitimen, auf MuPDF basierenden Open-Source-Viewers. Öffnet das Opfer damit eine entsprechend präparierte Datei, wird im Hintergrund Schadcode entschlüsselt und ausgeführt.

Anschließend kommt eine bislang nicht dokumentierte Backdoor zum Einsatz, die Check Point „Troy“ nennt. Sie unterstützt 17 unterschiedliche Befehle und ermöglicht den Angreifern damit umfangreiche Fernzugriffs- und Post-Exploitation-Aktivitäten.

Parallel dazu beobachteten die Forscher eine weitere Angriffskette mit DLL-Sideloading und der bereits bekannten Malware MISTPEN. Sie sammelt zunächst Informationen über das kompromittierte System, überprüft laufende Prozesse und kann zusätzliche Module direkt im Arbeitsspeicher nachladen.

Sergey Shykevich, Director Threat Intelligence bei Check Point Research , erklärt:

„Was diese Kampagne so gefährlich macht, ist nicht nur die Zero Day-Sicherheitslücke, sondern wie Lazarus legitime und vertrauenswürdige Infrastruktur in den Angriff eingebunden hat. Sie haben sich in aller Öffentlichkeit hinter den obersten Suchergebnissen von Google, echten Herstellerlogos und dem Markenimage der Rüstungskonzerne erfolgreich versteckt.

IT-Teams sollten sofort die zur Verfügung stehenden Patches installieren. Sie sollten Software über offizielle Kanäle anstatt von Suchrankings installieren.

Darüber hinaus sollten sie das Zero Trust-Prinzip auch auf die legitim aussehenden Websites und Partner anwenden und so die gesamte Supply Chain auch beim Recruiting-Prozess absichern.“

Windows-Zero-Day bringt Lazarus SYSTEM-Rechte

Besonders kritisch ist der Einsatz von CVE-2026-68820. Die Schwachstelle steckt im Windows Ancillary Function Driver afd.sys, einem Kernel-Treiber für die Verarbeitung von Netzwerk-Sockets.

Lazarus nutzte die Sicherheitslücke bereits aktiv aus, bevor ein Patch verfügbar war. Über die lokale Privilege-Escalation-Schwachstelle konnten die Angreifer SYSTEM-Rechte erreichen und eine neue Version ihres Kernel-Rootkits FudModule ausführen. Check Point zufolge war die Zero-Day-Ausnutzung spätestens seit Anfang Juli 2026 Bestandteil der laufenden Kampagne.

Check Point meldete die Schwachstelle am 28. Juli an Microsoft. Am 5. August erhielt sie die Kennung CVE-2026-68820, am 11. August 2026 wurde sie im Rahmen des Microsoft Patch Tuesday geschlossen.

FudModule ist dabei weit mehr als ein Werkzeug zur Rechteausweitung. Das Rootkit greift tief in Windows ein und kann Telemetrie- und Sicherheitsmechanismen beeinträchtigen. In der beobachteten Variante wurden unter anderem Funktionen zur Unterdrückung von EDR-Sichtbarkeit sowie zur Manipulation von Windows-Sicherheitsmechanismen festgestellt.

Für Unternehmen bedeutet das: Der August-Patch sollte gerade in exponierten beziehungsweise sicherheitskritischen Umgebungen mit hoher Priorität ausgerollt werden.

Lazarus versteckt C&C-Traffic hinter legitimer Infrastruktur

Noch interessanter als einzelne Malware-Komponenten ist die Infrastruktur hinter dem Angriff.

Statt ausschließlich eigene Command-and-Control-Server zu betreiben, kompromittierte Lazarus legitime Roundcube-Webmail- und Webserver und nutzte diese anschließend als Relay-Infrastruktur. Auf den Servern installierten die Angreifer eine von Check Point als „RelayShell“ bezeichnete PHP-Webshell.

Bei zahlreichen untersuchten Roundcube-Systemen spielte dabei CVE-2025-49113 eine Rolle. Die kritische Schwachstelle kann nach erfolgreicher Authentifizierung Remote Code Execution ermöglichen. Check Point fand zugleich Hinweise darauf, dass Zugangsdaten betroffener Konten bereits in Leaks im Dark Web kursierten.

Auch kompromittierte PrestaShop-Websites wurden als Relay-Knoten eingesetzt.

Der taktische Vorteil liegt auf der Hand: Kommunikation mit einem normalen Webmail-, CMS- oder Shop-System fällt im Netzwerkverkehr deutlich weniger auf als eine Verbindung zu einem offensichtlich verdächtigen Server.

Aus einem Opfer wird Infrastruktur für den nächsten Angriff

Besonders problematisch ist ein von Check Point dokumentierter Fall aus Westeuropa. Eine kompromittierte Organisation mit Sitz in Frankreich wurde anschließend dazu missbraucht, weitere Spear-Phishing-Kampagnen gegen Ziele weltweit zu unterstützen.

Damit ändert sich auch die Betrachtung eines Sicherheitsvorfalls. Eine kompromittierte Organisation ist nicht mehr ausschließlich Opfer. Ihre Domains, Server und Reputation können anschließend Bestandteil der Angriffsinfrastruktur werden.

Gerade bei Rüstungsunternehmen und deren Zulieferern entsteht daraus ein erhebliches Supply-Chain-Risiko. Vertrauen in bekannte Unternehmen, Geschäftspartner oder technische Infrastruktur allein reicht als Sicherheitsmerkmal nicht mehr aus.

Vertrauen wird selbst zur Angriffsfläche

Die aktuelle Lazarus-Kampagne zeigt exemplarisch, wie stark moderne Cyberangriffe technische Exploits und psychologische Vertrauensmechanismen miteinander verbinden.

Der Zero Day in afd.sys ist zwar der technisch spektakulärste Bestandteil. Operativ mindestens ebenso relevant sind jedoch die gefälschten Recruiting-Websites, manipulierten Suchergebnisse und kompromittierten legitimen Server. Lazarus versucht nicht mehr nur, Sicherheitskontrollen zu umgehen – die Gruppe nutzt das Vertrauen in Marken, Suchmaschinen, Bewerbungsprozesse und etablierte Internet-Infrastruktur gezielt als Angriffswerkzeug.

Für Security-Teams ergibt sich daraus eine unbequeme Konsequenz: Ein seriös wirkender Absender, eine bekannte Marke oder ein gutes Google-Ranking sind längst keine belastbaren Vertrauenssignale mehr.

Patch-Management bleibt deshalb nur eine Verteidigungslinie. Ebenso wichtig sind die Überwachung ungewöhnlicher Softwareinstallationen, Application Control, die Absicherung privilegierter Endpunkte sowie Awareness-Maßnahmen für Mitarbeiter, die aufgrund ihrer Position oder ihres technischen Know-hows besonders attraktive Ziele staatlicher Angreifer darstellen.