一个熟悉的骗局获得了危险的新工具

朝鲜国家支持的Lazarus集团重新启动了其长期进行的"梦想工作"行动，这一次该集团增加了一项重大升级：一个被追踪为CVE-2026-68820的Windows零日漏洞。据SC Media报道，该威胁行为者正在利用这一此前未知的漏洞在受害者机器上获取SYSTEM级访问权限，然后部署一个名为Troy的自定义后门。目标并非随机选择。研究人员表示，该行动聚焦于国防和航空航天组织，这些领域掌握着对受制裁国家具有明确吸引力的敏感知识产权和信息。

攻击链始于许多求职者绝不会怀疑的地方：一封招聘邮件。初始访问通过虚假的工作机会实现，这是Lazarus多年来一直使用的策略，诱骗工程师和分析师打开恶意文件。在最近这一波攻击中，受害者还被诱导下载一个看似合法的PDF阅读器，而该软件实际传递的却是利用Windows零日漏洞所需的恶意软件。

该行动的实际运作方式

这次行动之所以引人注目，不仅在于社交工程——这是Lazarus众所周知的战术手法——还在于其背后的技术升级。零日漏洞是指供应商尚未修补的漏洞，意味着防御者在被利用时没有任何预警，也没有可用的修复方案。通过将虚假工作机会与陷阱PDF阅读器相结合，Lazarus制造了一种场景：目标日常的正常操作——打开附件、安装文档阅读器——成为权限提升漏洞利用的入口。

一旦零日漏洞被触发，攻击者据称可获得SYSTEM级权限，即Windows机器上的最高级别访问权限。这种级别的控制使Troy后门能够以最小限制运行，可能实现数据外泄、持续监视以及网络内的横向移动。对于国防或航空航天行业的组织而言，这种访问权限可能暴露专有研究、人事记录或通信信息，其国家安全影响远超典型的公司数据泄露事件。

为什么这超越了国防领域

人们很容易读到这样的报道就认为它只涉及拥有机密许可的大型承包商。但攻击的机制——虚假招聘外联配合木马化软件下载——具有广泛的适用性。Lazarus集团长期以来一直以个人为目标，而不仅仅是机构，利用LinkedIn消息、电子邮件甚至即时通讯应用建立信任，然后再传递恶意软件。今天用于攻陷国防工程师的同一套手法，明天同样可以轻易地针对网络安全研究员、记者或加密货币开发者。

同样值得记住的是这种活动的来源。Lazarus集团在朝鲜运作，这是世界上信息环境控制最严格的国家之一，该政权限制普通公民的互联网访问，同时国家关联的部门在开展复杂的全球行动。对于好奇朝鲜境内数字访问和监控如何运作的读者，我们对朝鲜最佳VPN的解析解释了为什么即使是最基本的隐私工具在该特定背景下也伴随着巨大的风险和后果。

这对你意味着什么

如果你在国防、航空航天或任何经常收到主动招聘消息的领域工作，这次行动提醒你要谨慎对待意外的职位邀请，尤其是那些要求你下载软件来"查看"附件或完成评估的邀请。合法的招聘人员很少需要特殊的PDF阅读器或异常应用程序来查看简历或职位描述。

对于其他人来说，更广泛的教训是关于补丁管理纪律和电子邮件怀疑态度。零日漏洞最终会在供应商知晓后得到修复，但这只有在补丁发布后你实际及时安装更新时才能保护你。在那之前，最好的防御是完全避免初始感染载体：主动发送的附件、不熟悉的下载链接，以及凭空出现并推动紧迫感的职位邀请。

可操作的建议

对主动发送的职位邀请保持怀疑态度，尤其是那些在面试前就要求下载软件的邀请。保持Windows和所有应用程序——特别是PDF阅读器——在补丁发布后立即更新。在可用的情况下使用端点检测工具，因为权限提升尝试通常会留下可检测的痕迹，即使初始漏洞利用是未知的。国防相关行业的组织应专门向员工介绍"梦想工作"行动的战术，因为意识仍然是对抗社交工程攻击最有效的防御手段之一。了解此类行动是保护你的组织和自身数字足迹的实际步骤。