Nordkoreas Lazarus-gruppe har slået til igen, denne gang ved at kombinere et af sine ældste tricks med et af sine nyeste værktøjer. Ifølge en ny rapport brugte den statsstøttede hackergruppe falske jobtilbud sammen med en hidtil ukendt Windows zero-day-sårbarhed til at infiltrere forsvars- og rumfartsorganisationer. Kampagnen er et nyt kapitel i Operation Dream Job, en mangeårig spionageindsats, der har plaget forsvarssektoren i årevis, men denne seneste bølge viser, at gruppen er villig til at ofre værdifulde, ikke-offentliggjorte exploits for at få, hvad den vil have.

Sådan fungerer fupjob-svindlen

Angrebet følger et velkendt mønster for alle, der tidligere har fulgt Lazarus' aktiviteter. En person, der udgiver sig for at være rekrutteringskonsulent, kontakter en medarbejder i en forsvars- eller rumfartsvirksomhed og lokker med en jobmulighed i en virksomhed, som målet ville genkende. Fremgangsmåden føles legitim, fordi den minder om ægte rekrutteringshenvendelse: professionel kommunikation, en plausibel rolle og nok detaljer til at undgå at vække umiddelbar mistanke.

Dette er ikke en ny taktik. Som beskrevet i vores tidligere gennemgang af Operation Dream Job, der rammer forsvars- og rumfartsvirksomheder, har angribere brugt år på at forfine disse lokkemidler for at få falske muligheder til at føles ægte. Det, der adskiller denne seneste kampagne, er den payload, der venter for enden af samtalen. Når et mål reagerer, leverer angriberne en fil eller et link, der udnytter en Windows zero-day, en sårbarhed, som Microsoft ikke kendte til, og som ikke var patchet på angrebstidspunktet. Det betyder, at standard sikkerhedssoftware ikke havde nogen signatur til at opdage den, og målets system kunne blive kompromitteret uden tydelige advarselstegn.

Windows zero-day-vinklen

Zero-day-sårbarheder er værdifulde, netop fordi de er ukendte. Angribere, der råder over en, kan omgå patchede forsvar, der normalt ville stoppe en kendt exploit. At Lazarus bruger en zero-day her, signalerer et niveau af ressourcer og teknisk sofistikering, der stemmer overens med statsstøtte, og det gentager et mønster, som sikkerhedsforskere har set før. Sidste år måtte Microsoft patche en separat Windows zero-day, der allerede blev brugt i det fri til at installere malware knyttet til Lazarus, som beskrevet i vores dækning af Microsofts patch til en Lazarus-relateret rootkit-sårbarhed. Uanset om denne nye sårbarhed allerede er blevet patchet, er den underliggende lære den samme: At stole udelukkende på Microsofts månedlige opdateringscyklus efterlader et eksponeringsvindue, som beslutsomme angribere er ivrige efter at udnytte.

Hvorfor dette har betydning ud over forsvarsleverandører

Det er fristende at læse dette som en historie, der kun berører personer, der arbejder i forsvars- og rumfartsindustrien, men privatlivskonsekvenserne rækker videre. Lazarus går efter enkeltpersoner, ikke kun institutioner. Den medarbejder, der modtager det falske jobtilbud, er ofte valgt på grund af sin adgang, sine kontakter eller de følsomme data på sin enhed, ikke fordi vedkommende har gjort noget forkert. Når enheden først er kompromitteret, kan den enkelte bærbare computer blive et fodfæste ind i et større netværk og afsløre personlig kommunikation, legitimationsoplysninger og potentielt klassificerede eller proprietære oplysninger.

Denne kampagne understreger også en bredere tendens: Social engineering er stadig en af de mest effektive måder at omgå selv velfinansieret sikkerhedsinfrastruktur på. Ingen firewall eller endpoint-beskyttelsesværktøj kan fuldt ud opveje en overbevisende besked, der får nogen til at åbne en fil. Zero-day'en gjorde netop dette angreb farligere, men den oprindelige indgang var som altid menneskelig tillid.

Hvad det betyder for dig

De fleste læsere vil aldrig modtage en Lazarus-phishingbesked, men taktikkerne her bliver også stadig mere almindelige i mindre sofistikerede svindelnumre. Falske rekrutteringskonsulenter, jobsvindel og ondsindede vedhæftede filer forklædt som tilbudsbreve eller kodetests er blevet hverdag på platforme som LinkedIn og i e-mail. Hvis du arbejder i en følsom branche, forsvar, rumfart, tech eller forskning, skal du behandle uopfordrede jobhenvendelser med samme skepsis, som du ville anvende over for en mistænkelig faktura eller en for god til at være sand gevinstmeddelelse.

Ud over individuel forsigtighed er denne hændelse en påmindelse om, at det betyder noget at holde dit operativsystem og din sikkerhedssoftware opdateret, selvom en zero-day pr. definition ikke kan rettes på forhånd. Når en sårbarhed som denne bliver offentlig, handler leverandører typisk hurtigt for at frigive en rettelse, og hvis du udsætter opdateringen, efterlader det dig udsat for angribere, der reverse-engineerer fejlen ud fra selve rettelsen.

Konkrete anbefalinger

Bekræft rekrutteringshenvendelser uafhængigt, før du klikker på links eller downloader vedhæftede filer, helst ved at kontakte virksomheden direkte gennem dens officielle kanaler. Undgå at åbne uventede filer, også filer der ligner jobbeskrivelser eller vurderingstests, uden først at scanne dem. Hold Windows og al anden software opdateret, så snart rettelser bliver tilgængelige, da zero-days ofte hurtigt efterfølges af bredere udnyttelse, når detaljer slipper ud. Og hvis du arbejder i en højværdissektor som forsvar eller rumfart, skal du rapportere mistænkelige jobtilbud til din organisations sikkerhedsteam i stedet for at håndtere dem alene. Lazarus' falske jobtilbud og Windows zero-day-exploit viser, at selv erfarne fagfolk kan blive ramt af meget overbevisende lokkemidler, men en sund dosis skepsis og god sikkerhedshygiejne er stadig dit bedste forsvar.