Il gruppo Lazarus della Corea del Nord ha colpito di nuovo, questa volta combinando uno dei suoi trucchi più vecchi con uno dei suoi strumenti più nuovi. Secondo un nuovo rapporto, il gruppo di hacking sponsorizzato dallo Stato ha utilizzato false offerte di lavoro insieme a una vulnerabilità zero-day di Windows precedentemente sconosciuta per infiltrarsi in organizzazioni del settore della difesa e dell'aerospazio. La campagna rappresenta un nuovo capitolo dell'Operazione Dream Job, un'attività di spionaggio di lunga data che affligge il settore della difesa da anni, ma quest'ultima ondata mostra che il gruppo è disposto a bruciare exploit preziosi e non divulgati pur di ottenere ciò che vuole.
Come funziona la truffa delle false offerte di lavoro
L'attacco segue uno schema familiare per chiunque abbia seguito in passato le attività di Lazarus. Qualcuno che si finge reclutatore contatta un dipendente di un'azienda della difesa o del settore aerospaziale, prospettando un'opportunità di lavoro in una società che il bersaglio riconoscerebbe. L'approccio sembra legittimo perché imita il vero contatto dei reclutatori: messaggi professionali, una posizione plausibile e dettagli sufficienti per non destare sospetti immediati.
Questa non è una tattica nuova. Come abbiamo raccontato nel nostro precedente approfondimento su Operation Dream Job colpisce aziende della difesa e dell'aerospazio, gli aggressori hanno passato anni a perfezionare queste esche per far sembrare reali le false opportunità. Ciò che distingue quest'ultima campagna è il payload che attende alla fine della conversazione. Una volta che il bersaglio interagisce, gli aggressori consegnano un file o un link che sfrutta una zero-day di Windows, una falla sconosciuta a Microsoft e non corretta al momento dell'attacco. Ciò significa che i normali software di sicurezza non avevano alcuna firma per rilevarla e che il sistema del bersaglio poteva essere compromesso senza segnali d'allarme evidenti.
La questione della zero-day di Windows
Le vulnerabilità zero-day sono preziose proprio perché sconosciute. Gli aggressori che ne possiedono una possono aggirare difese già corrette che normalmente bloccherebbero un exploit noto. L'uso di una zero-day da parte di Lazarus segnala un livello di risorse e sofisticazione tecnica coerente con il sostegno di uno Stato e richiama uno schema che i ricercatori di sicurezza hanno già osservato. Proprio l'anno scorso Microsoft ha dovuto correggere una diversa zero-day di Windows che era già stata usata in circolazione per installare malware legato a Lazarus, come abbiamo descritto nel nostro articolo sulla patch di Microsoft per una falla rootkit collegata a Lazarus. Che questa nuova vulnerabilità sia già stata corretta o meno, la lezione di fondo è la stessa: affidarsi esclusivamente al ciclo di aggiornamenti mensili di Microsoft lascia una finestra di esposizione che gli aggressori determinati sono pronti a sfruttare.
Perché tutto ciò conta oltre le aziende della difesa
È facile leggere questa storia come qualcosa che riguarda solo chi lavora nel settore della difesa e dell'aerospazio, ma le implicazioni per la privacy vanno ben oltre. Lazarus prende di mira le persone, non solo le organizzazioni. Il dipendente che riceve la falsa offerta di lavoro viene spesso scelto per i suoi accessi, i suoi contatti o i dati sensibili presenti sul suo dispositivo, non perché abbia fatto qualcosa di sbagliato. Una volta compromesso, quel singolo laptop può diventare un punto d'appoggio verso una rete più ampia, esponendo comunicazioni personali, credenziali e informazioni potenzialmente classificate o proprietarie.
Questa campagna sottolinea anche una tendenza più ampia: il social engineering resta uno dei modi più efficaci per aggirare anche infrastrutture di sicurezza ben finanziate. Nessun firewall o strumento di protezione degli endpoint può compensare del tutto un messaggio convincente che persuade qualcuno ad aprire un file. La zero-day ha reso questo attacco più pericoloso, ma il punto d'ingresso iniziale è stato, come sempre, la fiducia umana.
Che cosa significa per te
La maggior parte dei lettori non riceverà mai un messaggio di phishing di Lazarus, ma queste tattiche stanno diventando sempre più comuni anche in truffe meno sofisticate. Finti reclutatori, truffe di lavoro e allegati dannosi camuffati da lettere di offerta o test di programmazione sono ormai routine su piattaforme come LinkedIn e nella posta elettronica. Se lavori in un settore sensibile, difesa, aerospazio, tecnologia o ricerca, tratta i contatti di lavoro non richiesti con lo stesso scetticismo che applicheresti a una fattura sospetta o a un avviso di premio troppo bello per essere vero.
Al di là della prudenza individuale, questo episodio ricorda che mantenere aggiornati sistema operativo e software di sicurezza è importante, anche se una zero-day per definizione non può essere corretta in anticipo. Una volta che una vulnerabilità di questo tipo diventa pubblica, i produttori in genere si muovono rapidamente per rilasciare una correzione, e rimandare l'aggiornamento lascia esposti ad aggressori che ricostruiscono la falla a partire dalla patch stessa.
Azioni da intraprendere
Verifica in modo indipendente i contatti dei reclutatori prima di cliccare qualsiasi link o scaricare allegati, idealmente contattando direttamente l'azienda tramite i suoi canali ufficiali. Evita di aprire file inattesi, anche se sembrano descrizioni di lavoro o test di valutazione, senza prima averli analizzati con un antivirus. Mantieni Windows e tutti i software aggiornati non appena le patch diventano disponibili, perché dopo una zero-day lo sfruttamento più ampio spesso arriva rapidamente una volta trapelati i dettagli. E se lavori in un settore ad alto valore come la difesa o l'aerospazio, segnala le offerte di lavoro sospette al team di sicurezza della tua organizzazione invece di gestirle da solo. Le false offerte di lavoro di Lazarus e l'exploit zero-day di Windows dimostrano che anche i professionisti esperti possono essere presi di mira con esche molto convincenti, ma una sana dose di scetticismo e una buona igiene informatica restano la migliore difesa.
