Wie das gefälschte Lockheed-Martin-Jobangebot Verteidigungsingenieure anlockt

Die vom nordkoreanischen Staat unterstützte Hackergruppe Lazarus hat eine ihrer charakteristischen Taktiken wiederbelebt – Opfer mit gefälschten Jobangeboten anzulocken, diesmal jedoch kombiniert mit einer zuvor unbekannten Windows-Sicherheitslücke. Laut Berichten über die Kampagne geben sich die Angreifer als Personalvermittler von Lockheed Martin, einem der größten Rüstungskonzerne der Welt, aus, um Ingenieure in der Luft- und Raumfahrt- sowie Verteidigungsbranche zu erreichen.

Der Ansatz folgt einem bekannten Lazarus-Muster, der sogenannten Operation Dream Job. Ein Ziel empfängt eine Nachricht, die wie eine legitime Rekrutierungsanfrage aussieht und oft auf eine bestimmte Rolle, ein Projekt oder eine technische Spezialisierung verweist, die für die Karriere des Empfängers relevant ist. Da die Kontaktaufnahme maßgeschneidert und professionell formuliert ist, kann sie kaum von einer echten Einstellungsanfrage unterschieden werden. Sobald das Opfer reagiert, liefert eine mit Schadcode präparierte Datei oder ein Link die schädliche Nutzlast – und genau hier verwandelt sich die Kampagne von einem routinemäßigen Phishing-Köder in eine ernsthafte technische Bedrohung.

Was CVE-2026-68820 Lazarus ermöglicht, sobald es im Netzwerk ist

Die Schwachstelle im Zentrum dieser Kampagne wird als CVE-2026-68820 geführt – eine Windows-Zero-Day-Lücke, die aktiv ausgenutzt wurde, bevor ein Patch existierte. Ein Zero-Day-Fehler ist gerade deshalb besonders gefährlich, weil zum Zeitpunkt der Nutzung durch Angreifer kein Fix verfügbar ist. Herkömmliche Patch-Zyklen bieten daher keinerlei Schutz, bis die Hersteller aufholen.

Sobald die Lazarus-Akteure einen Verteidigungsingenieur dazu gebracht haben, den schädlichen Inhalt zu öffnen, interagiert der Exploit Berichten zufolge mit einer zentralen Windows-Treiberkomponente, wodurch die Angreifer Privilegien erweitern und tieferen Zugriff auf das kompromittierte System erlangen können. Praktisch bedeutet das: Ein einziger Klick auf einen gefälschten Job-Anhang kann Angreifern einen Einstiegspunkt verschaffen, der weit über Standard-Benutzerrechte hinausgeht – mit potenziellem Zugriff auf sensible Dateien, Anmeldedaten und interne Netzwerkzugänge. Eine frühere Berichterstattung, die beschreibt, wie die Lazarus Group diese Windows-Zero-Day-Lücke in einer Fake-Job-Masche nutzt, erläutert die technischen Abläufe der Exploit-Kette nach erfolgreichem Köder im Detail.

Warum diese Kampagne die Verteidigungs- und Luftfahrt-Lieferkette ins Visier nimmt

Verteidigungs- und Luftfahrtorganisationen sind attraktive Ziele für staatlich unterstützte Gruppen wie Lazarus, weil sie am Schnittpunkt von wertvollem geistigem Eigentum und nationalen Sicherheitsinteressen stehen. Ingenieure, die an Verteidigungsprogrammen arbeiten, haben oft Zugang zu proprietären Designs, klassifizierten Projektdetails oder Systemen, die mit breiteren Regierungs- und Militärnetzwerken verbunden sind. Eine erfolgreiche Kompromittierung einer einzelnen Ingenieurs-Workstation kann zum Sprungbrett in eine viel größere Lieferkette werden – mit Auswirkungen auf Auftragnehmer, Subunternehmer und staatliche Partner gleichermaßen.

Dies ist nicht das erste Mal, dass diese spezifische Zero-Day-Lücke im Zusammenhang mit Angriffen auf den Verteidigungssektor auftaucht. Verwandte Berichte darüber, wie die Operation Dream Job mit einer Zero-Day-Lücke Verteidigungs- und Luftfahrtfirmen traf, zeigen, dass Lazarus seit einiger Zeit Varianten dieser Kampagne gegen ähnliche Ziele führt und dabei sowohl den Social-Engineering-Köder als auch den technischen Exploit kontinuierlich verfeinert. Die Beharrlichkeit dieser Bemühungen deutet darauf hin, dass die Angreifer den Verteidigungssektor als langfristiges, hochwertiges Ziel betrachten und nicht als einmalige Gelegenheit.

Abwehrmaßnahmen: Credential-Hygiene, Netzwerksegmentierung und sicherer Fernzugriff

Die gute Nachricht: Microsoft hat CVE-2026-68820 bereits über ein Sicherheitsupdate behoben, und Organisationen, die den entsprechenden Patch angewendet haben, sind gegen diesen spezifischen Exploit geschützt. Detaillierte technische Hintergründe zur Schwachstelle selbst – einschließlich ihrer Auswirkungen auf den AFD.sys-Treiber unter Windows 11 – finden Sie im Beitrag darüber, wie Lazarus den Windows-11-AFD.sys-Treiber angreift.

Über das Patchen hinaus erinnert diese Kampagne daran, dass technische Fixes allein eine entschlossene Social-Engineering-Attacke nicht stoppen. Organisationen im Verteidigungs- und Luftfahrtbereich sollten grundlegende, aber oft übersehene Praktiken verstärken: Personalvermittler-Kontakte über offizielle Unternehmenskanäle verifizieren, bevor Anhänge geöffnet werden; Unternehmensnetzwerke segmentieren, damit eine einzelne kompromittierte Workstation nicht einfach sensible Systeme erreichen kann; und sicheren, authentifizierten Fernzugriff verlangen, statt sich auf Ad-hoc-Dateifreigaben zu verlassen. IT-Teams sollten außerdem sicherstellen, dass Mitarbeiter, die von zu Hause oder auf Reisen arbeiten, ordnungsgemäß konfigurierte VPNs und Multi-Faktor-Authentifizierung verwenden – das reduziert die Chance, dass ein kompromittierter Endpunkt stillschweigend in die breitere Unternehmensinfrastruktur wechselt.

Was das für Sie bedeutet

Wenn Sie im Ingenieurwesen, in der Verteidigung oder Luftfahrt arbeiten und ein unaufgefordertes Jobangebot erhalten – selbst wenn es poliert wirkt und auf echte Unternehmen wie Lockheed Martin verweist –, behandeln Sie es mit Vorsicht, bevor Sie Anhänge öffnen. Bestätigen Sie die Möglichkeit über die offizielle Karriereseite des Unternehmens oder einen bekannten Kontakt, statt direkt auf die Nachricht zu antworten. Für IT- und Sicherheitsteams unterstreicht diese Lazarus-Zero-Day-Fake-Job-Kampagne, warum zeitnahes Patchen, Netzwerksegmentierung und strenge Fernzugriffskontrollen zusammenwirken müssen – denn keine einzelne Verteidigungsschicht reicht für sich allein.

Für eine Schritt-für-Schritt-Anleitung zur Bestätigung, dass Ihre Systeme geschützt sind, erläutert der Patch-Hinweis zur Windows-Zero-Day-CVE-2026-68820 der Lazarus Group, was IT-Teams im Verteidigungssektor jetzt prüfen sollten.

Konkrete Handlungsempfehlungen

  • Verifizieren Sie jeden unerwarteten Personalvermittler-Kontakt über offizielle Unternehmenskanäle, bevor Sie Anhänge öffnen oder Links anklicken.
  • Stellen Sie sicher, dass Ihre Organisation Microsofts Patch für CVE-2026-68820 auf allen Windows-Endpunkten angewendet hat.
  • Segmentieren Sie Netzwerke, damit ein einzelnes kompromittiertes Gerät nicht ohne Weiteres sensible Verteidigungs- oder Ingenieurssysteme erreichen kann.
  • Verlangen Sie sicheren, authentifizierten VPN-Zugriff und Multi-Faktor-Authentifizierung für alle Fernverbindungen.
  • Schulen Sie Ingenieurs- und technisches Personal gezielt zu Operation-Dream-Job-Artigen Ködern, da diese Taktik wiederholt gegen qualifizierte, technisch versierte Mitarbeiter erfolgreich war.