Poznat mamac s opasnim novim zaokretom
Prijevare s poslovima i phishing putem regrutera nisu ništa novo, no najnoviji val operacije Dream Job pokazuje koliko su napadači spremni ići kako bi lažna prilika djelovala stvarno. Prema istraživanju Check Pointa, od početka 2026. akteri prijetnji povezani s dugotrajnom kampanjom Operation Dream Job ciljaju obrambeni sektor diljem svijeta, s posebnim naglaskom na tvrtke u zrakoplovnoj i avioindustriji. Kampanja je prethodno povezivana s aktivnostima grupe Lazarus povezane sa Sjevernom Korejom, a ovaj najnoviji val navodno spaja mamce tematski vezane uz regrutere s Windows zero-day eksploatacijskim exploitom, kombinacijom koja značajno podiže ulog za svakoga u ulozi bliskoj obrani tko primi neželjenu ponudu za posao.
Ono što ovu kampanju čini značajnom nije samo sektor koji cilja nego i sofisticiranost koja stoji iza nje. Umjesto da se oslanjaju isključivo na uvjeravanje nekoga da preda vjerodajnice, napadači su navodno koristili dosad nepoznatu ranjivost softvera kako bi ostvarili dublji pristup nakon što je meta stupila u interakciju s mamcem. Taj pomak, s isključivo socijalnog inženjeringa na socijalni inženjering uparen s zero-day ranjivošću, dio je šireg obrasca koji su istraživači više puta isticali ove godine, uključujući u izvještavanju Check Pointa o zero-day ranjivosti od ranije ovog tjedna, gdje se stare i nove ranjivosti neprestano ponovno pojavljuju kao vektori napada.
Kako se napad odvija
Na temelju izvještaja, lanac napada slijedi obrazac koji istraživači sigurnosti klasificiraju pod prepoznatljivim tehnikama: početni pristup putem spear-phishing privitaka i izvršenje koje se oslanja na to da korisnik otvori ili stupi u interakciju sa zlonamjernom datotekom. U praksi to obično znači da meta primi poruku koja izgleda kao legitimno obraćanje regrutera, često spominjući stvarnu tvrtku ili poziciju, zajedno s privitkom prikazanim kao opis posla, obrazac za prijavu ili zadatak za procjenu. Nakon što se otvori, datoteka pokreće izvršenje koda na računalu žrtve, a u tom trenutku zero-day komponenta omogućuje napadačima da zaobiđu zaštite koje bi inače uhvatile konvencionalniji malware.
Jedan detalj iz istraživanja posebno se ističe: u barem jednom slučaju, napadači su koristili kompromitiranu organizaciju u Zapadnoj Europi za slanje daljnjih spear-phishing e-poruka, učinkovito pretvarajući vlastiti pouzdani identitet žrtve u platformu za dodatne napade. Ovo je značajna eskalacija. To znači da phishing e-poruka koju meta primi možda ne dolazi s očito sumnjive adrese; mogla bi doći sa stvarne, prethodno legitimne kontakt osobe čiji su sustavi već kompromitirani. Ta taktika odražava širi trend u nedavnim zero-day incidentima, slično duhu kako su se napadači koji iskorištavaju Cisco FMC zero-day ranjivost oslanjali na aktivno iskorištavanje pouzdane infrastrukture kako bi proširili svoj doseg prije nego što ih detekcija sustigne.
Zašto su obrana i zrakoplovstvo na meti
Obrazac ciljanja ovdje nije slučajan. Obrambeni izvođači i zrakoplovne tvrtke posjeduju vrijedno intelektualno vlasništvo, informacije o državnim ugovorima i pristup opskrbnom lancu što ih čini privlačnim metama za špijunažne operacije povezane s državama. Mamci s temom posla posebno dobro funkcioniraju protiv ovog sektora jer obrambene i zrakoplovne tvrtke neprestano zapošljavaju specijalizirane inženjere, analitičare i tehničko osoblje, od kojih su mnogi aktivni na platformama za profesionalno umrežavanje i otvoreni za dolazne kontakte regrutera. To normalno ponašanje pri zapošljavanju postaje upravo ranjivost koju napadači iskorištavaju.
Korištenje zero-day ranjivosti također sugerira dobro opremljenu operaciju. Zero-day ranjivosti skupe su za otkrivanje ili nabavu i obično su rezervirane za visokovrijedne mete, a ne za oportunističke, široko postavljene prijevare. Njihovo pojavljivanje ovdje potvrđuje da je ovaj val operacije Dream Job ciljani špijunažni napor, a ne generički kibernetički kriminal.
Što to znači za vas
Ako radite u obrani, zrakoplovstvu, avijaciji ili srodnom području, ova kampanja podsjetnik je da nije svaka neobična poruka regrutera bezazlena, čak i kad se čini da dolazi od poznatog kontakta ili organizacije. Kompromitacija legitimne zapadnoeuropske organizacije za slanje naknadnih phishing poruka pokazuje da signali povjerenja (poznati pošiljatelj, stvarno ime tvrtke, profesionalni ton) više nisu pouzdani pokazatelji sigurnosti.
Na osobnoj razini, ovo je također priča o privatnosti. Jednom kada napadači steknu uporište putem zero-day ranjivosti, potencijalno mogu pristupiti mnogo više od samih radnih datoteka, uključujući osobne komunikacije, vjerodajnice i aktivnost pregledavanja na kompromitiranom uređaju. Svatko tko rukuje osjetljivim profesionalnim informacijama trebao bi s povećanim oprezom tretirati neočekivane privitke, čak i one dobro sastavljene, a organizacije bi trebale osigurati da zaštita krajnjih točaka i procesi zakrpa ne ovise isključivo o hvatanju poznatih prijetnji.
Provedivi zaključci
Budite skeptični prema neželjenim kontaktima regrutera koji traže da otvorite privitke ili kliknete na poveznice, osobito ako stižu izvan vaše uobičajene platforme za poslove. Neovisno provjerite identitet regrutera prije daljnjeg angažmana. Održavajte operativne sustave i sigurnosni softver ažuriranima, jer zaštita od zero-day ranjivosti često ovisi o slojevitoj obrani, a ne o jednoj zakrpi. Ako radite u ciljanom sektoru, prijavite sumnjive ponude za posao sigurnosnom timu svoje organizacije umjesto da ih samostalno rješavate. Najnoviji val operacije Dream Job naglašava da čak i rutinske profesionalne interakcije mogu postati ulazna točka za sofisticirane, ciljane napade te da je oprez i dalje jedna od najučinkovitijih obrana koja je na raspolaganju.
