Lazarus-groep gebruikt Windows-zero-day bij nepbaanoplichting

De Noord-Koreaanse Lazarus-groep heeft opnieuw toegeslagen, dit keer door een van zijn oudste trucs te combineren met een van zijn nieuwste tools. Volgens een nieuw rapport gebruikte de door de staat gesteunde hackgroep valse vacatures samen met een voorheen onbekende Windows-zero-day-kwetsbaarheid om binnen te dringen bij defensie- en luchtvaartorganisaties. De campagne is een nieuw hoofdstuk in Operation Dream Job, een al jaren lopende spionageoperatie die de defensiesector teistert, maar deze laatste golf laat zien dat de groep bereid is waardevolle, niet openbaar gemaakte exploits op te offeren om te krijgen wat ze wil.

Hoe de nepbaanoplichting werkt

De aanval volgt een bekend patroon voor iedereen die de activiteiten van Lazarus eerder heeft gevolgd. Iemand die zich voordoet als recruiter benadert een medewerker van een defensie- of luchtvaartbedrijf met een baan bij een bedrijf dat het doelwit zou herkennen. De aanpak voelt legitiem omdat hij lijkt op echte recruitment: professionele berichten, een geloofwaardige functie en genoeg detail om niet meteen argwaan te wekken.

Dit is geen nieuwe tactiek. Zoals we al eerder beschreven in Operation Dream Job treft defensie- en luchtvaartbedrijven, hebben aanvallers jarenlang aan deze lokmiddelen gesleuteld om nepvacatures echt te laten aanvoelen. Wat deze nieuwste campagne anders maakt, is de payload die aan het einde van het gesprek wacht. Zodra het doelwit ingaat op de toenadering, leveren de aanvallers een bestand of link af die misbruik maakt van een Windows-zero-day: een fout die Microsoft niet kende en die op het moment van de aanval nog niet was gepatcht. Dat betekent dat standaard beveiligingssoftware geen handtekening had om de aanval te detecteren, en het systeem van het doelwit kon worden gecompromitteerd zonder duidelijke waarschuwingssignalen.

De invalshoek van de Windows-zero-day

Zero-day-kwetsbaarheden zijn juist waardevol omdat ze onbekend zijn. Aanvallers die er een bezitten, kunnen bijgewerkte verdedigingen omzeilen die een bekende exploit normaal gesproken zouden tegenhouden. Dat Lazarus hier een zero-day inzet, wijst op middelen en technische verfijning die passen bij staatssteun, en het weerspiegelt een patroon dat beveiligingsonderzoekers eerder hebben gezien. Vorig jaar moest Microsoft nog een aparte Windows-zero-day patchen die al actief werd misbruikt om malware te installeren die aan Lazarus is gekoppeld, zoals beschreven in onze berichtgeving over Microsofts patch voor een aan Lazarus gekoppeld rootkit-probleem. Of deze nieuwe kwetsbaarheid inmiddels is gepatcht of niet, de onderliggende les is hetzelfde: alleen vertrouwen op de maandelijkse updatecyclus van Microsoft laat een kwetsbaar venster open waar vastberaden aanvallers maar al te graag gebruik van maken.

Waarom dit verder gaat dan defensiebedrijven

Het is verleidelijk om dit te lezen als een verhaal dat alleen mensen raakt die in de defensie- en luchtvaartsector werken, maar de privacygevolgen reiken verder. Lazarus richt zich op individuen, niet alleen op instellingen. De medewerker die de valse vacature ontvangt, is vaak gekozen vanwege zijn of haar toegang, contacten of de gevoelige gegevens op het apparaat, niet omdat diegene iets verkeerds heeft gedaan. Zodra die ene laptop is gecompromitteerd, kan hij een bruggehoofd worden naar een breder netwerk, waardoor persoonlijke communicatie, inloggegevens en mogelijk gerubriceerde of bedrijfseigen informatie bloot komen te liggen.

Deze campagne onderstreept ook een bredere trend: social engineering blijft een van de effectiefste manieren om zelfs goed gefinancierde beveiligingsinfrastructuur te omzeilen. Geen firewall of endpointbeveiligingstool kan volledig opwegen tegen een overtuigend bericht dat iemand ertoe beweegt een bestand te openen. De zero-day maakte deze specifieke aanval gevaarlijker, maar het eerste toegangspunt was, zoals altijd, menselijk vertrouwen.

Wat dit voor jou betekent

De meeste lezers zullen nooit een phishingbericht van Lazarus ontvangen, maar de tactieken hier komen steeds vaker voor bij minder geavanceerde oplichting. Neprecruiters, baanscams en kwaadaardige bijlagen die zich voordoen als aanbiedingsbrieven of codeertests zijn routine geworden op platforms zoals LinkedIn en e-mail. Als je in een gevoelige sector werkt - defensie, luchtvaart, tech of onderzoek - behandel ongevraagde vacatureberichten dan met dezelfde scepsis die je zou toepassen op een verdachte factuur of een te-mooi-om-waar-te-zijn prijsmelding.

Naast individuele voorzichtigheid is dit incident een herinnering dat het belangrijk blijft om je besturingssysteem en beveiligingssoftware up-to-date te houden, ook al kan een zero-day per definitie niet vooraf worden gepatcht. Zodra een dergelijke kwetsbaarheid openbaar wordt, brengen leveranciers doorgaans snel een oplossing uit, en wie die update uitstelt, blijft blootgesteld aan aanvallers die de fout uit de patch zelf reverse-engineeren.

Praktische tips

Controleer recruitmentcontacten onafhankelijk voordat je op links klikt of bijlagen downloadt, idealiter door het bedrijf rechtstreeks via officiële kanalen te benaderen. Open geen onverwachte bestanden, zelfs niet als ze eruitzien als functieomschrijvingen of beoordelingstests, zonder ze eerst te scannen. Houd Windows en alle software up-to-date zodra er patches beschikbaar zijn, aangezien zero-days vaak snel worden gevolgd door bredere exploitatie zodra details uitlekken. En als je in een hoogwaardige sector zoals defensie of luchtvaart werkt, meld verdachte vacatureberichten dan bij het beveiligingsteam van je organisatie in plaats van ze alleen af te handelen. Nepvacatures van Lazarus en de Windows-zero-day-exploit laten zien dat zelfs ervaren professionals met uiterst overtuigende lokmiddelen kunnen worden benaderd, maar een gezonde dosis scepsis en goede beveiligingshygiëne blijven je beste verdediging.