朝鲜的 Lazarus 组织再次出手，这一次将最老练的伎俩之一与最新的工具之一结合在了一起。根据一份新报告，这个有国家背景的黑客组织利用虚假招聘信息以及一个此前未知的 Windows 零日漏洞，侵入了国防和航空航天机构。这场行动是“梦想工作行动”（Operation Dream Job）的新篇章——这是一场长期持续的间谍活动，多年来一直困扰着国防领域，但最新这波攻击表明，该组织愿意消耗宝贵且未公开的漏洞利用程序来达到目的。
虚假招聘骗局的运作方式
对于以前追踪过 Lazarus 活动的人来说，这种攻击模式并不陌生。有人冒充招聘人员，主动联系国防或航空航天公司的员工，以目标会知道的公司里的工作机会为诱饵。这种方式让人感觉是真实的，因为它模仿了真正的招聘沟通：专业的消息、合乎情理的职位，以及足以避免立刻引起怀疑的细节。
这并不是一种新战术。正如我们早前在“梦想工作行动”攻击国防和航空航天公司的报道中所提到的，攻击者花了多年时间精炼这些诱饵，让虚假机会看起来像真的一样。这次最新行动的不同之处在于对话结束时等待目标的载荷。一旦目标上钩，攻击者就会发送一个文件或链接，利用 Windows 零日漏洞——这个漏洞当时微软尚不知晓，也没有补丁。这意味着标准安全软件没有能够检测它的特征码，目标系统可能在没有任何明显警告的情况下遭到入侵。
Windows 零日漏洞的角度
零日漏洞之所以价值高，正是因为它们不为人知。拥有零日漏洞的攻击者可以绕过通常能阻止已知漏洞利用的补丁防御。Lazarus 在这里使用零日漏洞，表明其拥有与国家级支持相称的资源和技术水平，也呼应了安全研究人员以前见过的模式。就在去年，微软不得不修补另一个 Windows 零日漏洞，该漏洞当时已在野外被用于安装与 Lazarus 有关的恶意软件，详情见我们关于微软修补与 Lazarus rootkit 有关漏洞的报道。无论这个新漏洞是否已经修补，根本教训是一样的：仅仅依赖微软每月更新周期会留下暴露窗口，而意志坚定的攻击者正急于利用这段时间。
为什么这不仅关系到国防承包商
人们很容易把这件事看作只影响国防和航空航天从业者，但隐私影响远不止于此。Lazarus 的目标是个人，而不仅仅是机构。收到虚假招聘信息的员工之所以被选中，往往是因为他们的访问权限、人脉或设备上的敏感数据，而不是因为他们做错了什么。一旦被入侵，那一台笔记本电脑就可能成为进入更广泛网络的立足点，暴露个人通信、凭据，甚至可能是机密或专有信息。
这场行动还凸显了一个更广泛的趋势：社会工程学仍然是绕过安全基础设施——即使是资金充足的安全基础设施——最有效的方法之一。没有任何防火墙或端点防护工具能够完全弥补一条令人信服、说服某人打开文件的消息所带来的风险。零日漏洞让这次特定攻击更加危险，但最初的切入点一如既往，是人的信任。
这对你意味着什么
大多数读者永远不会收到 Lazarus 的网络钓鱼消息，但这里使用的策略在不太复杂的骗局中也越来越常见。假招聘人员、招聘骗局，以及伪装成录用通知或编程测试的恶意附件，已经在 LinkedIn 和电子邮件等平台上变得司空见惯。如果你在敏感行业工作——国防、航空航天、科技或研究——那么对待未经请求的招聘联系，要像对待可疑发票或好得令人难以置信的中奖通知一样保持怀疑。
除了个人保持警惕之外，这一事件也提醒我们，保持操作系统和安全软件更新很重要，尽管零日漏洞从定义上无法提前修补。一旦这样的漏洞公开，厂商通常会迅速发布修复程序，而推迟更新会让你暴露在攻击者面前，他们可以从补丁本身逆向分析出漏洞。
可操作的建议
在点击任何链接或下载附件之前，先独立核实招聘联系，最好通过公司官方渠道直接联系该公司。避免打开意外收到的文件，即使它们看起来是职位描述或评估测试，也要先进行扫描。一旦有补丁可用，立即更新 Windows 和所有软件，因为零日漏洞细节泄露后，往往会很快出现更广泛的利用。如果你在国防或航空航天等高价值领域工作，请向所在组织的安全团队报告可疑的招聘信息，而不是独自处理。Lazarus 的虚假招聘信息和 Windows 零日漏洞利用表明，即使是经验丰富的专业人士也可能成为极具说服力的诱饵的目标，但适度的怀疑态度和良好的安全习惯仍然是你最好的防御。
