How does the Lazarus Group lure defense engineers in this campaign?

Attackers pose as Lockheed Martin recruiters and send tailored recruitment messages that reference specific roles, projects, or technical specialties relevant to the target, making the outreach difficult to distinguish from a genuine hiring inquiry.

What is CVE-2026-68820?

It is a Windows zero-day vulnerability that was actively exploited before a patch existed, meaning there was no fix available at the time attackers began using it.

What happens after a victim opens the malicious content?

The exploit interacts with a core Windows driver component, allowing attackers to escalate privileges and gain deeper access to the compromised machine, potentially exposing sensitive files, credentials, and internal network access.

Why does this campaign target defense and aerospace engineers?

Defense and aerospace organizations hold valuable intellectual property and national security interests, and engineers often have access to proprietary designs, classified project details, or systems connected to broader government and military networks.

What is the significance of a zero-day flaw in this attack?

A zero-day flaw is especially dangerous because there is no fix available at the time attackers start using it, so traditional patching schedules offer no protection until vendors catch up.

Az észak-koreai állami támogatású Lazarus hackercsoport újraélesztette egyik védjegyének számító taktikáját, hamis állásajánlatokkal csalogatva áldozatait, ezúttal azonban egy korábban ismeretlen Windows-sérülékenységgel párosítva...

Hogyan csalogatja a hamis Lockheed Martin állásajánlat a védelmi mérnököket

Az észak-koreai állami támogatású Lazarus hackercsoport újraélesztette egyik védjegyének számító taktikáját, hamis állásajánlatokkal csalogatva áldozatait, ezúttal azonban egy korábban ismeretlen Windows-sérülékenységgel párosítva. A kampányról szóló beszámolók szerint a támadók a világ egyik legnagyobb védelmi vállalatának, a Lockheed Martinnak a toborzóinak adják ki magukat, hogy elérjék a repülőgépiparban és a védelmi szektorban dolgozó mérnököket.

A megközelítés a Lazarus ismert forgatókönyvét, az Operation Dream Job néven ismert műveletet követi. A célpont egy legitim toborzó üzenetnek tűnőt kap, amely gyakran konkrét pozícióra, projektre vagy az illető karrierje szempontjából releváns technikai szakterületre hivatkozik. Mivel a megkeresés személyre szabott és professzionálisan megírt, nehéz megkülönböztetni egy valódi állásajánlattól. Amint az áldozat reagál, egy csapdába állított fájl vagy link juttatja el a kártékony payloadot, és pontosan ez az a pont, ahol ez a kampány egy rutinszerű adathalász csaliból komoly technikai fenyegetéssé válik.

Mit tesz lehetővé a CVE-2026-68820 a Lazarus számára, ha egyszer bejutott a hálózatba

A kampány középpontjában álló sérülékenységet CVE-2026-68820 néven tartják nyilván, amely egy Windows nulladik napi (zero-day) sebezhetőség, amit aktívan kihasználtak még azelőtt, hogy bármilyen javítás létezett volna rá. A nulladik napi hiba azért különösen veszélyes, mert a támadók általi használatba vétel időpontjában még nem áll rendelkezésre rá javítás, ami azt jelenti, hogy a hagyományos javítási ütemezések semmilyen védelmet nem nyújtanak, amíg a gyártók fel nem zárkóznak.

Miután a Lazarus operátorai rászedik a védelmi mérnököt a kártékony tartalom megnyitására, a jelentések szerint a kihasználás egy alapvető Windows-illesztőprogram-komponenssel lép kölcsönhatásba, lehetővé téve a támadók számára, hogy kiterjesztett jogosultságokhoz jussanak és mélyebb hozzáférést szerezzenek a feltört gépen. A gyakorlatban ez azt jelenti, hogy egyetlen kattintás egy hamis állásajánlati mellékletre olyan behatolási pontot adhat a támadóknak, amely jóval túlmutat a normál felhasználói jogosultságokon, potenciálisan hozzáférést biztosítva érzékeny fájlokhoz, hitelesítő adatokhoz és belső hálózati erőforrásokhoz. A korábbi, a Lazarus Group Windows nulladik napi sebezhetőséget használ hamis állásajánlati átverésben című tudósításunk részletesen bemutatja a kihasználási lánc technikai mechanizmusát, amely a kezdeti csali sikere után kibontakozik.

Miért célpontja ez a kampány a védelmi és repülőgépipari ellátási láncnak

A védelmi és repülőgépipari szervezetek vonzó célpontok az olyan állami támogatású csoportok számára, mint a Lazarus, mivel az értékes szellemi tulajdon és a nemzetbiztonsági érdekek metszéspontjában helyezkednek el. A védelmi programokon dolgozó mérnökök gyakran hozzáférnek szabadalmi tervekhez, minősített projektadatokhoz vagy olyan rendszerekhez, amelyek szélesebb kormányzati és katonai hálózatokhoz kapcsolódnak. Egyetlen mérnöki munkaállomás sikeres feltörése ugródeszkává válhat egy sokkal nagyobb ellátási lánc felé, érintve a vállalkozókat, alvállalkozókat és kormányzati partnereket egyaránt.

Ez nem az első alkalom, hogy ez a konkrét nulladik napi sebezhetőség felbukkan a védelmi szektor megcélzásával összefüggésben. A kapcsolódó, az Operation Dream Job nulladik napi sebezhetőség védelmi és repülőgépipari cégeket sújt tudósításunk azt mutatja, hogy a Lazarus már egy ideje hasonló célpontok ellen futtatja ennek a kampánynak a változatait, közben finomítva mind a social engineering csalit, mind a technikai kihasználást. Az ilyen erőfeszítések kitartása arra utal, hogy a támadók hosszú távú, nagy értékű célpontként tekintenek a védelmi szektorra, nem pedig egyszeri lehetőségként.

Védelmi lépések: hitelesítőadat-higiénia, hálózati szegmentáció és biztonságos távoli hozzáférés

A jó hír az, hogy a Microsoft már kezelte a CVE-2026-68820-at egy biztonsági frissítéssel, és azok a szervezetek, amelyek alkalmazták a releváns javítást, védve vannak ez ellen a konkrét kihasználás ellen. A hibával kapcsolatos részletes technikai háttér, beleértve azt is, hogyan érinti az AFD.sys illesztőprogramot Windows 11 rendszereken, a hogyan támadja a Lazarus a Windows 11 AFD.sys illesztőprogramját című írásunkban olvasható.

A javításon túl ez a kampány arra emlékeztet, hogy a technikai megoldások önmagukban nem állítják meg az eltökélt social engineering erőfeszítéseket. A védelmi és repülőgépipari szervezeteknek meg kell erősíteniük az alapvető, de gyakran figyelmen kívül hagyott gyakorlatokat: a toborzói megkeresések ellenőrzése hivatalos vállalati csatornákon keresztül, mielőtt bármilyen mellékletet megnyitnának; a vállalati hálózatok szegmentálása, hogy egyetlen feltört munkaállomás ne érhesse el könnyen az érzékeny rendszereket; valamint a biztonságos, hitelesített távoli hozzáférés megkövetelése az ad hoc fájlmegosztás helyett. Az informatikai csapatoknak azt is biztosítaniuk kell, hogy az otthonról vagy utazás közben csatlakozó alkalmazottak megfelelően konfigurált VPN-t és többfaktoros hitelesítést használjanak, csökkentve annak esélyét, hogy egy feltört végpont csendesen átjárót nyisson a tágabb vállalati infrastruktúrába.

Mit jelent ez Önnek

Ha mérnöki, védelmi vagy repülőgépipari területen dolgozik, és kéretlen állásajánlatot kap, még akkor is, ha az kifinomultnak tűnik és valódi cégekre, például a Lockheed Martinra hivatkozik, kezelje óvatosan, mielőtt bármilyen csatolmányt megnyitna. Erősítse meg az álláslehetőséget a cég hivatalos karrieroldalán vagy egy ismert kapcsolattartón keresztül, ahelyett, hogy közvetlenül válaszolna az üzenetre. Az informatikai és biztonsági csapatok számára ez a Lazarus nulladik napi sebezhetőséget kihasználó ál-állásajánlati kampány azt hangsúlyozza, hogy az időben elvégzett javításoknak, a hálózati szegmentációnak és a szigorú távoli hozzáférési ellenőrzéseknek együtt kell működniük, mivel egyetlen védelmi réteg sem elegendő önmagában.

A rendszerei védelmének megerősítéséhez nyújtott lépésről lépésre szóló útmutatásért a Lazarus Group Windows nulladik napi CVE-2026-68820 sérülékenységének javítása – alkalmazza most című javítási tanácsadó áttekinti, mit kell ellenőrizniük a védelmi szektor informatikai csapatainak most.

Gyakorlati teendők

Ellenőrizze minden váratlan toborzói megkeresést hivatalos vállalati csatornákon keresztül, mielőtt mellékleteket nyitna meg vagy linkekre kattintana.
Győződjön meg róla, hogy szervezete alkalmazta a Microsoft CVE-2026-68820-ra vonatkozó javítását az összes Windows végponton.
Szegmentálja a hálózatokat, hogy egyetlen feltört eszköz ne érhesse el könnyen az érzékeny védelmi vagy mérnöki rendszereket.
Követelje meg a biztonságos, hitelesített VPN-hozzáférést és a többfaktoros hitelesítést minden távoli kapcsolathoz.
Képezze ki a mérnöki és műszaki munkatársakat kifejezetten az Operation Dream Job stílusú csalikra, mivel ez a taktika ismételten sikeresnek bizonyult képzett, technikailag járatos alkalmazottakkal szemben.

FAQ (fordítsa le az egyes kérdéseket és válaszokat): K1: Hogyan csalogatja a Lazarus Group a védelmi mérnököket ebben a kampányban? V1: A támadók Lockheed Martin toborzóknak adják ki magukat, és személyre szabott toborzó üzeneteket küldenek, amelyek konkrét pozíciókra, projektekre vagy a célpont számára releváns technikai szakterületekre hivatkoznak, így a megkeresést nehéz megkülönböztetni egy valódi állásajánlattól. K2: Mi az a CVE-2026-68820? V2: Ez egy Windows nulladik napi sérülékenység, amelyet aktívan kihasználtak még azelőtt, hogy javítás létezett volna rá, ami azt jelenti, hogy a támadók általi használatba vétel időpontjában nem állt rendelkezésre javítás. K3: Mi történik, miután az áldozat megnyitja a kártékony tartalmat? V3: A kihasználás egy alapvető Windows-illesztőprogram-komponenssel lép kölcsönhatásba, lehetővé téve a támadók számára, hogy kiterjesztett jogosultságokhoz jussanak és mélyebb hozzáférést szerezzenek a feltört gépen, potenciálisan hozzáférést biztosítva érzékeny fájlokhoz, hitelesítő adatokhoz és belső hálózati erőforrásokhoz. K4: Miért célozza ez a kampány a védelmi és repülőgépipari mérnököket? V4: A védelmi és repülőgépipari szervezetek értékes szellemi tulajdonnal és nemzetbiztonsági érdekekkel rendelkeznek, és a mérnökök gyakran hozzáférnek szabadalmi tervekhez, minősített projektadatokhoz vagy olyan rendszerekhez, amelyek szélesebb kormányzati és katonai hálózatokhoz kapcsolódnak. K5: Mi a nulladik napi hiba jelentősége ebben a támadásban? V5: A nulladik napi hiba azért különösen veszélyes, mert a támadók általi használatba vétel időpontjában még nem áll rendelkezésre rá javítás, így a hagyományos javítási ütemezések semmilyen védelmet nem nyújtanak, amíg a gyártók fel nem zárkóznak. ---END---