Nordkoreas Lazarus-Gruppe hat erneut zugeschlagen, diesmal kombiniert sie einen ihrer ältesten Tricks mit einem ihrer neuesten Werkzeuge. Laut einem neuen Bericht nutzte die staatlich unterstützte Hacking-Gruppe gefälschte Jobangebote zusammen mit einer bislang unbekannten Windows-Zero-Day-Schwachstelle, um in Organisationen der Verteidigungs- und Luft- und Raumfahrtindustrie einzudringen. Die Kampagne ist ein neues Kapitel der Operation Dream Job, einer langjährigen Spionageaktion, die den Verteidigungssektor seit Jahren plagt, doch diese jüngste Welle zeigt, dass die Gruppe bereit ist, wertvolle, nicht offengelegte Exploits zu opfern, um zu bekommen, was sie will.
Wie der Fake-Job-Betrug funktioniert
Der Angriff folgt einem vertrauten Muster für alle, die die Aktivitäten von Lazarus bereits verfolgt haben. Jemand, der sich als Personalvermittler ausgibt, kontaktiert einen Mitarbeiter eines Verteidigungs- oder Luft- und Raumfahrtunternehmens und lockt mit einer Stellenausschreibung bei einem Unternehmen, das das Opfer kennen dürfte. Die Vorgehensweise wirkt legitim, weil sie echte Anwerbungsversuche widerspiegelt: professionelle Nachrichten, eine plausible Rolle und genügend Details, um keinen unmittelbaren Verdacht zu erregen.
Dies ist keine neue Taktik. Wie in unserem früheren Beitrag zu Operation Dream Job, die Verteidigungs- und Luft- und Raumfahrtunternehmen trifft beschrieben, haben Angreifer jahrelang daran gearbeitet, diese Köder zu verfeinern, damit gefälschte Angebote echt wirken. Was diese jüngste Kampagne auszeichnet, ist die Nutzlast, die am Ende der Konversation wartet. Sobald ein Opfer reagiert, liefern die Angreifer eine Datei oder einen Link, der eine Windows-Zero-Day-Schwachstelle ausnutzt – eine Schwachstelle, die Microsoft unbekannt und zum Zeitpunkt des Angriffs ungepatcht war. Das bedeutet, dass herkömmliche Sicherheitssoftware keine Signatur zur Erkennung hatte und das System des Opfers ohne offensichtliche Warnzeichen kompromittiert werden konnte.
Der Windows-Zero-Day-Aspekt
Zero-Day-Schwachstellen sind gerade deshalb wertvoll, weil sie unbekannt sind. Angreifer, die eine solche besitzen, können gepatchte Verteidigungen umgehen, die einen bekannten Exploit normalerweise stoppen würden. Dass Lazarus hier eine Zero-Day-Schwachstelle einsetzt, deutet auf ein Maß an Ressourcen und technischer Raffinesse hin, das mit staatlicher Unterstützung vereinbar ist, und es wiederholt ein Muster, das Sicherheitsforscher bereits zuvor beobachtet haben. Erst im letzten Jahr musste Microsoft eine separate Windows-Zero-Day-Schwachstelle patchen, die bereits aktiv ausgenutzt wurde, um mit Lazarus in Verbindung stehende Malware zu installieren, wie in unserem Beitrag zu Microsofts Patch für eine mit Lazarus verknüpfte Rootkit-Schwachstelle beschrieben. Unabhängig davon, ob diese neue Schwachstelle bereits gepatcht wurde, bleibt die grundlegende Lehre dieselbe: Wer sich ausschließlich auf den monatlichen Update-Zyklus von Microsoft verlässt, lässt ein Zeitfenster der Verwundbarkeit offen, das entschlossene Angreifer nur zu gern ausnutzen.
Warum dies über Verteidigungsunternehmen hinaus wichtig ist
Es ist verlockend, dies als eine Geschichte zu lesen, die nur Personen betrifft, die in der Verteidigungs- und Luft- und Raumfahrtindustrie arbeiten, aber die Auswirkungen auf die Privatsphäre reichen weiter. Lazarus zielt auf Einzelpersonen ab, nicht nur auf Institutionen. Der Mitarbeiter, der das gefälschte Jobangebot erhält, wird oft aufgrund seiner Zugriffsrechte, seiner Kontakte oder der sensiblen Daten auf seinem Gerät ausgewählt, nicht weil er etwas falsch gemacht hat. Sobald der Laptop kompromittiert ist, kann er zu einem Brückenkopf in ein größeres Netzwerk werden und persönliche Kommunikation, Zugangsdaten und möglicherweise vertrauliche oder proprietäre Informationen preisgeben.
Was das für Sie bedeutet
Die meisten Leser werden niemals eine Lazarus-Phishing-Nachricht erhalten, aber die hier gezeigten Taktiken werden auch bei weniger ausgeklügelten Betrugsversuchen immer häufiger eingesetzt. Gefälschte Personalvermittler, Job-Betrug und bösartige Anhänge, die als Angebotsschreiben oder Programmiertests getarnt sind, sind auf Plattformen wie LinkedIn und per E-Mail zur Routine geworden. Wenn Sie in einer sensiblen Branche arbeiten – Verteidigung, Luft- und Raumfahrt, Technologie oder Forschung –, behandeln Sie unaufgeforderte Job-Kontaktaufnahmen mit derselben Skepsis, die Sie einer verdächtigen Rechnung oder einer zu schönen Gewinnbenachrichtigung entgegenbringen würden.
Konkrete Handlungsempfehlungen
Überprüfen Sie die Kontaktaufnahme von Personalvermittlern unabhängig, bevor Sie auf Links klicken oder Anhänge herunterladen, idealerweise indem Sie das Unternehmen direkt über seine offiziellen Kanäle kontaktieren. Vermeiden Sie das Öffnen unerwarteter Dateien, auch wenn sie wie Stellenbeschreibungen oder Einstellungstests aussehen, ohne sie vorher zu scannen. Halten Sie Windows und alle Software auf dem neuesten Stand, sobald Patches verfügbar sind, denn Zero-Days werden oft schnell von einer breiteren Ausnutzung gefolgt, sobald Details bekannt werden. Und wenn Sie in einem hochwertigen Sektor wie Verteidigung oder Luft- und Raumfahrt arbeiten, melden Sie verdächtige Jobangebote dem Sicherheitsteam Ihres Unternehmens, anstatt sie alleine zu bearbeiten. Die gefälschten Jobangebote und der Windows-Zero-Day-Exploit von Lazarus zeigen, dass selbst erfahrene Fachleute mit äußerst überzeugenden Ködern ins Visier genommen werden können, aber eine gesunde Dosis Skepsis und gute Sicherheitshygiene bleiben Ihre beste Verteidigung.
