Sjevernokorejska državno sponzorirana grupa Lazarus Group oživjela je svoju dugotrajnu kampanju "Operation Dream Job", a ovoga puta grupa je dodala ozbiljnu nadogradnju: Windows zero-day ranjivost praćenu kao...

Poznata prijevara dobiva opasno novo oruđe

Sjevernokorejska državno sponzorirana grupa Lazarus Group oživjela je svoju dugotrajnu kampanju "Operation Dream Job", a ovoga puta grupa je dodala ozbiljnu nadogradnju: Windows zero-day ranjivost praćenu kao CVE-2026-68820. Prema izvješćima SC Media, prijetnja koristi ovu dosad nepoznatu grešku kako bi dobila pristup na razini SYSTEM-a na žrtvinim uređajima prije nego što implementira prilagođena backdoor vrata poznata kao Troy. Ciljevi nisu nasumični. Istraživači kažu da je kampanja usmjerena na obrambene i zrakoplovne organizacije, sektore koji posjeduju osjetljivo intelektualno vlasništvo i informacije od jasnog interesa za sankcioniranu državu.

Lanac napada počinje na mjestu koje mnogi tražitelji posla nikada ne bi posumnjali: e-pošta za zapošljavanje. Početni pristup ostvaruje se putem lažnih ponuda za posao, taktikom koju Lazarus koristi godinama kako bi namamio inženjere i analitičare da otvore zlonamjerne datoteke. U ovom najnovijem valu, žrtve se također navare da preuzmu ono što izgleda kao legitimni PDF preglednik, koji umjesto toga isporučuje zlonamjerni softver potreban za iskorištavanje Windows zero-day ranjivosti.

Kako kampanja zapravo funkcionira

Ono što ovu operaciju čini značajnom nije samo socijalni inženjering, koji je dobro dokumentirana Lazarusova taktika, već tehnička eskalacija iza nje. Zero-day je ranjivost koju dobavljači još nisu zakrpali, što znači da branitelji nemaju unaprijed upozorenje niti dostupno rješenje u vrijeme iskorištavanja. Kombinirajući lažnu ponudu za posao s miniranim PDF preglednikom, Lazarus stvara scenarij u kojem normalne, svakodnevne radnje cilja, otvaranje privitka, instaliranje preglednika dokumenata, postaju ulazna točka za exploit eskalacije privilegija.

Nakon što se zero-day aktivira, napadači navodno postižu privilegije na razini SYSTEM-a, najvišu razinu pristupa na Windows uređaju. Ta razina kontrole omogućuje backdoor vratima Troy da djeluju uz minimalna ograničenja, potencijalno omogućujući eksfiltraciju podataka, trajni nadzor i lateralno kretanje kroz mrežu. Za organizaciju u obrambenoj ili zrakoplovnoj industriji, takva vrsta pristupa mogla bi otkriti vlastito istraživanje, zapise o osoblju ili komunikacije koje imaju implikacije na nacionalnu sigurnost daleko izvan tipične korporativne povrede.

Zašto je ovo važno izvan obrambenog sektora

Lako je pročitati ovakvu priču i pretpostaviti da se tiče samo velikih izvođača s tajnim ovlastima. Ali mehanika napada, lažno regrutiranje putem poruka kombinirano s trojaniziranim preuzimanjem softvera, široko je primjenjiva. Lazarus Group ima dugu povijest ciljanja pojedinaca, a ne samo institucija, koristeći LinkedIn poruke, e-poštu, pa čak i aplikacije za razmjenu poruka kako bi izgradili odnos prije isporuke zlonamjernog softvera. Isti playbook koji danas kompromitira inženjera obrane mogao bi jednako lako sutra ciljati stručnjaka za kibernetičku sigurnost, novinara ili developera kriptovaluta.

Također je vrijedno zapamtiti odakle ova aktivnost potječe. Lazarus Group djeluje iz Sjeverne Koreje, jednog od najstrože kontroliranih informacijskih okruženja na svijetu, gdje režim ograničava pristup internetu običnim građanima dok državne jedinice provode sofisticirane globalne operacije. Za čitatelje znatiželjne o tome kako digitalni pristup i nadzor funkcioniraju unutar same Sjeverne Koreje, naš pregled najboljeg VPN-a za Sjevernu Koreju objašnjava zašto čak i osnovni alati za privatnost nose ogroman rizik i posljedice u tom specifičnom kontekstu.

Što to znači za vas

Ako radite u obrani, zrakoplovstvu ili bilo kojem području koje redovito prima neželjene poruke za zapošljavanje, ova kampanja je podsjetnik da s neobičnim ponudama za posao postupate s oprezom, posebno onima koje traže da preuzmete softver kako biste "vidjeli" privitak ili dovršili procjenu. Legitimni regruteri rijetko zahtijevaju poseban PDF preglednik ili neobičnu aplikaciju za pregled životopisa ili opisa posla.

Za sve ostale, šira lekcija odnosi se na disciplinu zakrpanja i skepticizam prema e-pošti. Zero-day ranjivosti na kraju se poprave kada dobavljači postanu svjesni njih, ali to vas štiti samo ako odmah instalirate ažuriranja kada zakrpa postane dostupna. Do tada, najbolja obrana je izbjegavanje početnog vektora infekcije u potpunosti: neželjeni privici, nepoznate poveznice za preuzimanje i ponude za posao koje dolaze niotkuda i nameću hitnost.

Praktični zaključci

Neželjene ponude za posao tretirajte sa skepticizmom, posebno one koje zahtijevaju preuzimanje softvera prije nego što se uopće dogodi intervju. Održavajte Windows i sve aplikacije, posebno PDF preglednike, ažuriranima čim se zakrpe objave. Koristite alate za detekciju krajnjih točaka gdje su dostupni, jer pokušaji eskalacije privilegija često ostavljaju vidljive tragove čak i kada je početni exploit nepoznat. Organizacije u industrijama povezanim s obranom trebale bi upoznati zaposlenike s taktikama Operation Dream Job, jer svjesnost ostaje jedna od najučinkovitijih obrana protiv napada temeljenih na socijalnom inženjeringu. Informiranje o ovakvim kampanjama praktičan je korak prema zaštiti vaše organizacije i vašeg vlastitog digitalnog otiska.

FAQ (prevedite svako pitanje i odgovor): Q1: Što je CVE-2026-68820? A1: To je Windows zero-day ranjivost koju je iskoristila grupa Lazarus Group kako bi dobila pristup na razini SYSTEM-a na žrtvinim uređajima prije nego što implementira prilagođena backdoor vrata nazvana Troy. Q2: Tko su ciljevi ove kampanje Lazarus Groupa? A2: Kampanja je usmjerena na obrambene i zrakoplovne organizacije, koje posjeduju osjetljivo intelektualno vlasništvo i informacije od interesa za Sjevernu Koreju. Q3: Kako počinje lanac napada? A3: Početni pristup ostvaruje se putem lažnih ponuda za posao poslanih e-poštom za zapošljavanje, a žrtve se također navare da preuzmu ono što izgleda kao legitimni PDF preglednik koji isporučuje zlonamjerni softver. Q4: Što napadači mogu učiniti nakon iskorištavanja zero-day ranjivosti? A4: Postižu privilegije na razini SYSTEM-a, najvišu razinu pristupa na Windowsu, što omogućuje backdoor vratima Troy da djeluju uz minimalna ograničenja i potencijalno omogućuje eksfiltraciju podataka, trajni nadzor i lateralno kretanje. Q5: Zašto je ovo važno izvan obrambenog sektora? A5: Taktike lažnog regrutiranja putem poruka i trojaniziranog preuzimanja softvera široko su primjenjive i mogle bi ciljati stručnjake za kibernetičku sigurnost, novinare ili developere kriptovaluta. ---END---