Lỗ Hổng Zero-Day Trên Windows Của Nhóm Lazarus Nhắm Vào Nhân Viên Ngành Quốc Phòng

Một Chiêu Trò Lừa Đảo Quen Thuộc Có Thêm Công Cụ Nguy Hiểm Mới

Nhóm Lazarus do nhà nước Bắc Triều Tiên hậu thuẫn đã hồi sinh chiến dịch "Operation Dream Job" kéo dài từ lâu của mình, và lần này nhóm đã bổ sung một nâng cấp nghiêm trọng: một lỗ hổng zero-day trên Windows được theo dõi là CVE-2026-68820. Theo báo cáo từ SC Media, tác nhân đe dọa này đang sử dụng lỗ hổng chưa từng được biết đến trước đây để đạt được quyền truy cập cấp SYSTEM trên máy nạn nhân trước khi triển khai một backdoor tùy chỉnh có tên là Troy. Các mục tiêu không phải là ngẫu nhiên. Các nhà nghiên cứu cho biết chiến dịch này tập trung vào các tổ chức quốc phòng và hàng không vũ trụ, những lĩnh vực nắm giữ tài sản trí tuệ nhạy cảm và thông tin mà một quốc gia bị trừng phạt rõ ràng quan tâm.

Chuỗi tấn công bắt đầu từ một nơi mà nhiều người tìm việc không bao giờ ngờ tới: một email tuyển dụng. Quyền truy cập ban đầu được thực hiện thông qua các lời mời làm việc giả, một chiến thuật mà Lazarus đã sử dụng trong nhiều năm để dụ các kỹ sư và nhà phân tích mở các tệp độc hại. Trong làn sóng mới nhất này, nạn nhân cũng bị lừa tải xuống thứ trông giống như một trình xem PDF hợp pháp, nhưng thay vào đó lại cung cấp phần mềm độc hại cần thiết để khai thác lỗ hổng zero-day trên Windows.

Chiến Dịch Thực Sự Hoạt Động Như Thế Nào

Điều khiến chiến dịch này đáng chú ý không chỉ là kỹ thuật social engineering, vốn là thủ đoạn đã được ghi nhận rõ của Lazarus, mà còn là sự leo thang kỹ thuật đằng sau nó. Zero-day là một lỗ hổng mà các nhà cung cấp chưa vá, nghĩa là các nhà phòng thủ không có cảnh báo trước và không có bản sửa lỗi nào tại thời điểm bị khai thác. Bằng cách kết hợp lời mời làm việc giả với một trình xem PDF được cài cắm bẫy, Lazarus tạo ra một tình huống mà các hành động bình thường hàng ngày của mục tiêu, mở tệp đính kèm, cài đặt trình đọc tài liệu, trở thành điểm xâm nhập cho một exploit leo thang đặc quyền.

Khi zero-day được kích hoạt, các nhà nghiên cứu báo cáo rằng kẻ tấn công đạt được đặc quyền cấp SYSTEM, mức truy cập cao nhất trên máy Windows. Mức kiểm soát đó cho phép backdoor Troy hoạt động với rất ít hạn chế, có khả năng cho phép đánh cắp dữ liệu, giám sát liên tục và di chuyển ngang qua mạng. Đối với một tổ chức trong ngành quốc phòng hoặc hàng không vũ trụ, loại truy cập đó có thể làm lộ nghiên cứu độc quyền, hồ sơ nhân sự hoặc thông tin liên lạc có ý nghĩa an ninh quốc gia vượt xa một vụ vi phạm doanh nghiệp thông thường.

Tại Sao Điều Này Quan Trọng Ngoài Lĩnh Vực Quốc Phòng

Thật dễ dàng để đọc một câu chuyện như thế này và cho rằng nó chỉ liên quan đến các nhà thầu lớn có giấy phép an ninh. Nhưng cơ chế của cuộc tấn công, tiếp cận tuyển dụng giả kết hợp với tải xuống phần mềm bị trojan hóa, có thể áp dụng rộng rãi. Nhóm Lazarus có lịch sử lâu dài nhắm vào các cá nhân thay vì chỉ các tổ chức, sử dụng tin nhắn LinkedIn, email và thậm chí cả ứng dụng nhắn tin để xây dựng mối quan hệ trước khi phát tán phần mềm độc hại. Cùng một kịch bản mà hôm nay làm tổn hại một kỹ sư quốc phòng có thể dễ dàng nhắm vào một nhà nghiên cứu an ninh mạng, một nhà báo hoặc một nhà phát triển tiền điện tử vào ngày mai.

Cũng đáng để nhớ nguồn gốc của hoạt động này. Nhóm Lazarus hoạt động từ Bắc Triều Tiên, một trong những môi trường thông tin bị kiểm soát chặt chẽ nhất thế giới, nơi chế độ hạn chế quyền truy cập internet của người dân thường trong khi các đơn vị liên kết với nhà nước tiến hành các chiến dịch toàn cầu tinh vi. Đối với độc giả tò mò về cách truy cập kỹ thuật số và giám sát hoạt động bên trong chính Bắc Triều Tiên, bài phân tích của chúng tôi về VPN tốt nhất cho Bắc Triều Tiên giải thích tại sao ngay cả các công cụ quyền riêng tư cơ bản cũng mang lại rủi ro và hậu quả to lớn trong bối cảnh cụ thể đó.

Điều Này Có Nghĩa Gì Cho Bạn

Nếu bạn làm việc trong lĩnh vực quốc phòng, hàng không vũ trụ hoặc bất kỳ lĩnh vực nào thường xuyên nhận được tin nhắn tuyển dụng không được yêu cầu, chiến dịch này là một lời nhắc nhở để thận trọng với các lời mời làm việc bất ngờ, đặc biệt là những lời mời yêu cầu bạn tải xuống phần mềm để "xem" tệp đính kèm hoặc hoàn thành bài đánh giá. Các nhà tuyển dụng hợp pháp hiếm khi yêu cầu một trình xem PDF đặc biệt hoặc ứng dụng bất thường để xem xét sơ yếu lý lịch hoặc mô tả công việc.

Đối với tất cả những người khác, bài học rộng hơn là về kỷ luật vá lỗi và sự hoài nghi với email. Các lỗ hổng zero-day cuối cùng sẽ được sửa khi các nhà cung cấp biết về chúng, nhưng điều đó chỉ bảo vệ bạn nếu bạn thực sự cài đặt các bản cập nhật kịp thời khi bản vá có sẵn. Cho đến lúc đó, cách phòng thủ tốt nhất là tránh hoàn toàn vector lây nhiễm ban đầu: các tệp đính kèm không được yêu cầu, các liên kết tải xuống lạ và các lời mời làm việc xuất hiện từ hư không và thúc ép sự khẩn cấp.

Những Điểm Cần Hành Động

Hãy hoài nghi với các lời mời làm việc không được yêu cầu, đặc biệt là những lời mời yêu cầu tải xuống phần mềm trước khi buổi phỏng vấn diễn ra. Giữ Windows và tất cả các ứng dụng, đặc biệt là trình đọc PDF, được cập nhật ngay khi các bản vá được phát hành. Sử dụng các công cụ phát hiện endpoint nếu có, vì các nỗ lực leo thang đặc quyền thường để lại dấu vết có thể phát hiện được ngay cả khi exploit ban đầu chưa được biết đến. Các tổ chức trong các ngành liên quan đến quốc phòng nên phổ biến cho nhân viên cụ thể về các chiến thuật của Operation Dream Job, vì nhận thức vẫn là một trong những biện pháp phòng thủ hiệu quả nhất chống lại các cuộc tấn công được thiết kế bằng social engineering. Việc cập nhật thông tin về các chiến dịch như thế này là một bước thực tế để bảo vệ cả tổ chức của bạn và dấu chân kỹ thuật số của chính bạn.