Check Point Research ha pubblicato l'11 agosto 2026 l'analisi di una nuova ondata della campagna Operation Dream Job, attribuita al gruppo Lazarus affiliato alla Corea del Nord. Il threat actor ha sfruttato CVE-2026-68820, zero-day di local privilege escalation nel driver Windows AFD.sys, per installare il rootkit FudModule con privilegi SYSTEM. La campagna ha preso di mira il settore difesa in Europa e India, utilizzando offerte di lavoro fittizie e un viewer PDF trojanizzato distribuito attraverso siti web con ottimizzazione SEO.
- L'11 agosto 2026 Microsoft ha rilasciato la patch per CVE-2026-68820, zero-day LPE nel driver AFD.sys, dopo responsible disclosure di Check Point Research.
- Lazarus ha distribuito SecurityPDF, viewer basato su MuPDF, che verifica il marker "This document is encrypted with sumatrapdf reader!!!!!!!!!!!!" ed estrae payload con XOR key 0x39.
- Almeno tre siti web impersonano l'azienda Enveil, con alcuni posizionati come primo risultato sui motori di ricerca per query correlate a SecurityPDF.
- Due catene di infezione parallele sono state identificate: SecurityPDF → Troy e DLL sideloading con libmupdf.dll → MISTPEN → ForestTiger.
Come funziona la catena di infezione SecurityPDF
La variante 2026 di Operation Dream Job si apre con la distribuzione di SecurityPDF, un viewer PDF modificato a partire dal codice open-source MuPDF. Il file eseguibile, offerto alle vittime per aprire documenti di presunte offerte di lavoro nel settore difesa e aerospaziale, contiene una logica di attivazione specifica: verifica la presenza del marker "This document is encrypted with sumatrapdf reader!!!!!!!!!!!!" all'interno del PDF craftato, quindi estrae un payload cifrato con chiave XOR a byte singolo 0x39, lo scrive in %TEMP%\new.exe e lo esegue.
Il payload estratto è il nuovo backdoor Troy, che avvia la compromissione vera e propria. In parallelo, Check Point ha documentato una seconda catena di infezione che sfrutta DLL sideloading attraverso libmupdf.dll, portando al downloader MISTPEN — documentato già nel 2024 da Mandiant — che utilizza Microsoft Graph API e OneDrive per il comando e controllo con cifratura AES. Da MISTPEN si procede al backdoor ForestTiger, consolidando l'accesso persistente.
Da Troy a FudModule: l'escalation con CVE-2026-68820
Dopo la fase iniziale di reconnaissance e persistenza, Lazarus ha sfruttato CVE-2026-68820 per elevare i privilegi a livello kernel. La vulnerabilità risiede nel driver AFD.sys (Ancillary Function Driver) di Windows, componente responsabile della gestione delle socket di rete. L'exploit ha permesso il deploy di una nuova versione di FudModule, il rootkit in kernel mode del gruppo, che opera con privilegi SYSTEM e bypassa i meccanismi di protezione degli endpoint.
Check Point ha segnalato la vulnerabilità a Microsoft attraverso responsible disclosure. Il vendor ha assegnato l'identificatore CVE-2026-68820 e rilasciato la patch l'11 agosto 2026 nell'ambito degli aggiornamenti mensili di August Patch Tuesday. Il punteggio CVSS assegnato è 7, con classificazione HIGH.
SEO e siti compromessi come vettori di diffusione
Un elemento distintivo della campagna 2026 è l'uso di tecniche di ottimizzazione per motori di ricerca per distribuire il malware. Check Point ha identificato almeno tre siti web che impersonano l'azienda Enveil, alcuni dei quali posizionati come primo risultato di ricerca per query come "Enveil SecurityPDF". La fonte precisa che l'attaccante impersona Enveil senza che l'azienda stessa sia stata compromessa o targettata.
Parallelamente, Lazarus ha sfruttato CVE-2025-49113 — vulnerabilità di elevata gravità con CVSS 9.9 secondo le fonti autorevoli — per compromettere server Roundcube, installando il webshell PHP RelayShell. Questi server sono stati utilizzati come relay per il comando e controllo, sfruttando l'infrastruttura di terze parti per mascherare le comunicazioni. Almeno un'organizzazione europea compromessa è stata successivamente abusata per spear-phishing verso ulteriori vittime, sfruttando la reputazione della prima.
"Microsoft assigned the vulnerability CVE-2026-68820 and released a patch on August 11, 2026, as part of their August Patch Tuesday updates" — Check Point Research
L'evoluzione di una campagna che dura dal 2020
Il termine Operation Dream Job è stato coniato da ClearSky nel 2020, quando il gruppo Lazarus fu osservato per la prima volta utilizzare viewer PDF trojanizzati in combinazione con offerte di lavoro fittizie. ESET ha confermato la continuità della campagna nel 2025, con targeting di aziende del settore UAV europee e impiego di tecniche sovrapposte: trojanizzazione di progetti open-source, social engineering attraverso job lure, e il payload ScoringMathTea. ESET attribuisce l'attività con alta confidenza a Lazarus, in particolare alle campagne correlate a Operation DreamJob.
La ondata 2026 documentata da Check Point rappresenta un'escalazione tecnica significativa: l'introduzione di una zero-day nel kernel Windows, la dual-use di API legittime (Microsoft Graph, OneDrive) per evasione, e l'impiego di SEO per amplificare la credibilità delle lure. Non è più solo social engineering: è una supply chain di fiducia costruita artificialmente.
Perché è importante
Il dossier non specifica il metodo esatto di primo contatto con le vittime nella campagna 2026 — se via LinkedIn, applicazioni di messaggistica o email — né l'estensione geografica completa oltre Europa e India. Il numero totale di organizzazioni compromesse non è quantificato, e il ruolo esatto di CVE-2025-60719 (Microsoft advisory sullo stesso driver AFD.sys) rispetto alla zero-day 2026 non è chiarito dalla fonte primaria.
La fonte non documenta misure correttive specifiche adottate dalle vittime né interventi di Enveil contro l'impersonazione. Il brief non elenca best practice operative, strumenti di rilevamento consigliati o procedure di hardening. Ciò che emerge con chiarezza è la convergenza tra tecniche di ingegneria sociale raffinate e capacità di exploitation kernel-level, con strumenti legittimi trasformati in componenti di evasione.
La campagna dimostra che il settore difesa e aerospaziale rimane un target prioritario per gli APT nordcoreani, e che la credibilità delle lure non dipende più solo dalla qualità del messaggio, ma dalla costruzione di un intero ecosistema di distribuzione — siti web, SEO, software open-source modificato — che renda l'attacco indistinguibile da un'interazione legittima fino al momento dell'esecuzione in kernel.
FAQ
- CVE-2025-60719 e CVE-2026-68820 sono la stessa vulnerabilità?
- Il dossier non stabilisce questo collegamento. CVE-2025-60719 è un advisory Microsoft sullo stesso componente AFD.sys, ma il CVE rilevante per la campagna 2026 è CVE-2026-68820, documentato esclusivamente da Check Point.
- Enveil è stata compromessa?
- No. Check Point specifica esplicitamente che l'attaccante impersona Enveil senza indicazioni che l'azienda sia stata targettata o compromessa.
- Quando è stata rilasciata la patch?
- Microsoft ha rilasciato la patch per CVE-2026-68820 l'11 agosto 2026, nell'ambito degli aggiornamenti di August Patch Tuesday.
Fonti
- https://research.checkpoint.com/2026/shattering-the-dream-when-a-job-offer-becomes-a-zero-day-attack/
- https://www.welivesecurity.com/en/eset-research/gotta-fly-lazarus-targets-uav-sector/
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-60719
- https://www.clearskysec.com/operation-dream-job/
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.