Severokorejská skupina Lazarus znovu udeřila, tentokrát zkombinovala jeden ze svých nejstarších triků s jedním ze svých nejnovějších nástrojů. Podle nové zprávy použila státem podporovaná hackerská skupina falešné pracovní nabídky spolu s dosud neznámou zero-day zranitelností ve Windows, aby pronikla do organizací v obraně a letectví. Tato kampaň je novou kapitolou operace Dream Job, dlouhodobé špionážní aktivity, která sužuje obranný sektor už léta, ale tato nejnovější vlna ukazuje, že skupina je ochotna obětovat cenné nezveřejněné exploity, aby získala, co chce.
Jak funguje podvod s falešnou pracovní nabídkou
Útok se drží známého vzorce pro každého, kdo už aktivity skupiny Lazarus sledoval. Někdo, kdo se vydává za náboráře, osloví zaměstnance firmy v obraně nebo letectví a láká ho na pracovní příležitost ve společnosti, kterou cíl zná. Tento přístup působí důvěryhodně, protože napodobuje skutečný nábor: profesionální zprávy, věrohodnou roli a dostatek detailů, aby hned nevzbudil podezření.
Nejde o novou taktiku. Jak jsme popsali v dřívějším článku o operaci Dream Job zaměřené na firmy v obraně a letectví, útočníci strávili roky vylepšováním těchto návnad, aby falešné příležitosti působily skutečně. To, co tuto nejnovější kampaň odlišuje, je škodlivá zátěž čekající na konci konverzace. Jakmile cíl zareaguje, útočníci doručí soubor nebo odkaz, který zneužije zero-day zranitelnost ve Windows, tedy chybu, kterou Microsoft v době útoku neznal a nebyla opravena. To znamená, že standardní bezpečnostní software neměl žádnou signaturu, podle které by ji odhalil, a systém cíle mohl být kompromitován bez zjevných varovných signálů.
Zero-day zranitelnost ve Windows
Zero-day zranitelnosti jsou cenné právě proto, že jsou neznámé. Útočníci, kteří je mají, mohou obejít opravenou obranu, která by běžně zastavila známý exploit. To, že Lazarus použil zero-day, signalizuje míru zdrojů a technické vyspělosti odpovídající státní podpoře a připomíná vzorec, který bezpečnostní výzkumníci viděli už dříve. Jen loni musel Microsoft opravit jinou zero-day zranitelnost ve Windows, která už byla zneužívána ve volné přírodě k instalaci malwaru spojeného se skupinou Lazarus, jak jsme podrobně popsali v článku o záplatě Microsoftu na chybu v rootkitu spojenou se skupinou Lazarus. Ať už je tato nová zranitelnost už opravena, nebo ne, základní ponaučení je stejné: spoléhat se pouze na měsíční cyklus aktualizací Microsoftu nechává okno zranitelnosti, které odhodlaní útočníci rádi využijí.
Proč to má význam i mimo obranné dodavatele
Je lákavé vnímat to jako příběh, který se týká jen lidí pracujících v obraně a letectví, ale dopady na soukromí sahají dál. Lazarus cílí na jednotlivce, nejen na instituce. Zaměstnanec, který falešnou pracovní nabídku obdrží, je často vybrán kvůli svým přístupům, kontaktům nebo citlivým datům v zařízení, ne proto, že by udělal něco špatně. Jakmile je jednou kompromitován, může se z jediného notebooku stát opěrný bod pro průnik do širší sítě, což vystaví osobní komunikaci, přihlašovací údaje a potenciálně i utajované nebo důvěrné informace.
Tato kampaň rovněž podtrhuje širší trend: sociální inženýrství zůstává jedním z nejúčinnějších způsobů, jak obejít i dobře financovanou bezpečnostní infrastrukturu. Žádný firewall ani nástroj pro ochranu koncových zařízení nedokáže plně kompenzovat přesvědčivou zprávu, která někoho přiměje otevřít soubor. Zero-day udělal tento konkrétní útok nebezpečnějším, ale prvotním vstupním bodem byla jako vždy lidská důvěra.
Co to znamená pro vás
Většina čtenářů nikdy neobdrží phishingovou zprávu od skupiny Lazarus, ale zdejší taktiky jsou čím dál běžnější i u méně sofistikovaných podvodů. Falešní náboráři, pracovní podvody a škodlivé přílohy maskované jako nabídkové dopisy nebo programátorské testy se staly rutinou na platformách, jako je LinkedIn, a v e-mailu. Pokud pracujete v citlivém odvětví, v obraně, letectví, technologiích nebo výzkumu, přistupujte k nevyžádaným pracovním nabídkám se stejnou skepsí, jakou byste uplatnili u podezřelé faktury nebo u oznámení o výhře, která zní až příliš dobře na to, aby byla pravdivá.
Kromě individuální opatrnosti je tento incident připomínkou, že záleží na tom, abyste měli operační systém a bezpečnostní software aktualizované, i když zero-day z definice nelze opravit předem. Jakmile se podobná zranitelnost stane veřejnou, výrobci obvykle rychle vydají opravu, a pokud aktualizaci odkládáte, zůstáváte vystaveni útočníkům, kteří zranitelnost zpětně analyzují právě ze samotné záplaty.
Praktická doporučení
Ověřujte si oslovení od náborářů nezávisle ještě před kliknutím na jakékoli odkazy nebo stahováním příloh, ideálně tím, že společnost kontaktujete přímo prostřednictvím oficiálních kanálů. Neotevírejte neočekávané soubory, ani ty, které vypadají jako popisy pracovních pozic nebo testy, bez předchozí kontroly. Udržujte Windows a veškerý software aktualizované, jakmile jsou záplaty k dispozici, protože po úniku podrobností o zero-day zranitelnostech často rychle následuje jejich širší zneužití. A pokud pracujete v odvětví s vysokou hodnotou, jako je obrana nebo letectví, nahlaste podezřelé pracovní nabídky bezpečnostnímu týmu své organizace, místo abyste je řešili sami. Falešné pracovní nabídky skupiny Lazarus a zneužití zero-day zranitelnosti ve Windows ukazují, že i zkušení profesionálové se mohou stát terčem vysoce přesvědčivých návnad, ale zdravá dávka skepse a dobrá bezpečnostní hygiena zůstávají vaší nejlepší obranou.
