O Lazarus Group voltou a demonstrar o nível de sofisticação de suas campanhas de ciberespionagem ao combinar uma vulnerabilidade zero-day no Windows, engenharia social e infraestrutura comprometida para atingir organizações estratégicas. A campanha utiliza falsas ofertas de emprego para atrair profissionais de empresas de defesa, aeroespacial e tecnologia, incluindo alvos relacionados ao Brasil.
O ataque reúne diferentes componentes, entre eles a nova backdoor Troy, o malware MISTPEN e o FudModule 3.1, usado para contornar mecanismos de proteção do Windows. A operação também aproveita servidores Linux comprometidos, incluindo sistemas com WordPress e Roundcube, para esconder parte da infraestrutura utilizada pelos invasores.
O caso merece atenção porque mostra como uma campanha moderna de espionagem não depende de apenas uma vulnerabilidade. O Lazarus combina manipulação psicológica, exploração de sistemas operacionais, abuso de serviços legítimos e comprometimento de servidores para dificultar a detecção e ampliar seu alcance.
O que é a Operação Emprego dos Sonhos e como o Lazarus atua
A chamada Operação Emprego dos Sonhos, conhecida como Operation Dream Job, é uma estratégia associada ao Lazarus que utiliza falsas oportunidades profissionais para comprometer vítimas. Em vez de começar com um phishing tradicional, os criminosos se apresentam como recrutadores e abordam profissionais por plataformas como o LinkedIn.
O objetivo é alcançar pessoas que trabalham em áreas de alto valor estratégico. Engenheiros, desenvolvedores, pesquisadores e profissionais ligados aos setores de defesa e aeroespacial podem receber propostas de emprego aparentemente legítimas.
A abordagem é particularmente perigosa porque explora uma situação cotidiana. O candidato pode acreditar que precisa baixar um documento, executar um programa ou abrir determinado arquivo para participar de uma entrevista ou conhecer os detalhes da vaga.
A armadilha dos PDFs falsos e do leitor infectado
Um dos mecanismos empregados na campanha envolve documentos que aparentam ser arquivos PDF relacionados à oportunidade profissional. O problema está no aplicativo utilizado para abrir esses arquivos.
Os pesquisadores identificaram executáveis como SecurityPDF acompanhados da biblioteca maliciosa libmupdf.dll. A combinação permite utilizar uma técnica conhecida como DLL sideloading, na qual um programa carrega uma biblioteca manipulada pelo atacante.
Na prática, a vítima acredita estar abrindo um documento, mas o processo pode iniciar uma cadeia de execução maliciosa em segundo plano. A técnica é especialmente útil para campanhas direcionadas porque utiliza um contexto aparentemente legítimo e reduz a desconfiança do usuário.
O método também dificulta a análise tradicional. Em vez de depender exclusivamente de um arquivo executável claramente identificado como malware, o ataque utiliza componentes que simulam uma aplicação legítima.
O papel da backdoor Troy e do MISTPEN
Depois do comprometimento inicial, o Lazarus utiliza diferentes ferramentas para manter acesso e controlar o sistema. Entre elas está a nova Troy, uma backdoor desenvolvida para atuar como componente de uma cadeia de espionagem.
O MISTPEN também aparece associado à operação. O malware pode permitir que os operadores executem comandos, manipulem arquivos e baixem componentes adicionais necessários para continuar a intrusão.
Outro aspecto relevante é o uso de serviços legítimos da Microsoft. A infraestrutura maliciosa pode recorrer a Microsoft Graph e OneDrive para movimentar informações roubadas.
Essa estratégia dificulta a identificação do ataque apenas pelo tráfego de rede. Conexões com serviços de nuvem amplamente utilizados por empresas podem parecer normais quando analisadas isoladamente.
Para os defensores, isso reforça a importância de investigar comportamento anômalo, identidade utilizada, processos responsáveis pelas conexões e volume de dados transferidos, e não somente bloquear domínios previamente conhecidos.
Como o Lazarus explora o zero-day no Windows
A etapa mais crítica da campanha envolve a CVE-2026-68820, uma vulnerabilidade no AFD.sys, componente do Windows relacionado ao funcionamento das interfaces de rede WinSock.
A falha pode permitir uma elevação de privilégios e possibilitar que um invasor local consiga executar código com privilégios SYSTEM. Em um ataque direcionado, isso representa uma mudança significativa no nível de controle obtido sobre o computador.
Uma infecção iniciada por engenharia social normalmente começa com privilégios limitados. Ao explorar uma vulnerabilidade desse tipo, o invasor pode tentar transformar esse acesso inicial em controle privilegiado do sistema operacional.
Isso abre caminho para ações como instalação de componentes adicionais, manipulação de processos, acesso a informações protegidas e tentativa de neutralizar mecanismos de segurança.
A combinação é o que torna o ataque particularmente preocupante: a engenharia social fornece o acesso inicial, enquanto a vulnerabilidade do Windows ajuda a ampliar os privilégios disponíveis ao invasor.
FudModule 3.1 ajuda a contornar as defesas
A campanha também utiliza o FudModule 3.1, componente associado a técnicas avançadas de evasão.
O objetivo é dificultar a atuação das proteções do Windows por meio de manipulação de componentes e estruturas em memória. Entre os mecanismos que podem ser alvo dessas técnicas está o Smart App Control, recurso criado para impedir a execução de aplicações consideradas potencialmente perigosas.
Esse tipo de abordagem representa uma evolução importante em relação ao malware convencional. O invasor não precisa necessariamente depender de um executável persistente e facilmente identificável para realizar todas as etapas do ataque.
Por isso, mecanismos de defesa precisam observar processos, memória, privilégios, comportamento do sistema e alterações inesperadas, além da simples presença de arquivos maliciosos no disco.
Servidores Linux, WordPress e Roundcube viram infraestrutura do ataque
A campanha também demonstra que proteger apenas os computadores Windows não é suficiente.
O Lazarus teria comprometido servidores Linux, sites WordPress e instalações do Roundcube para utilizá-los como parte da infraestrutura da operação. Em vez de manter todos os servidores de comando e controle sob seu próprio domínio, o grupo aproveita sistemas pertencentes a terceiros.
Essa técnica oferece uma vantagem operacional importante. Um servidor legítimo comprometido pode funcionar como intermediário entre o malware e a infraestrutura controlada pelos criminosos.
Para investigadores, isso aumenta a complexidade da atribuição. O endereço de um servidor comprometido pode pertencer a uma empresa que sequer sabe que sua infraestrutura está sendo utilizada em uma campanha internacional de espionagem.
A vulnerabilidade do Roundcube entra na cadeia
O Roundcube merece atenção especial devido à CVE-2025-49113, vulnerabilidade de execução remota de código que afetou versões do popular cliente de webmail.
Uma exploração bem-sucedida de servidores vulneráveis pode transformar uma plataforma de e-mail em uma ferramenta para invasores. Em uma campanha como essa, o servidor comprometido deixa de ser apenas um alvo e passa a funcionar como parte da infraestrutura operacional.
O mesmo princípio vale para instalações de WordPress desatualizadas. Plugins vulneráveis, credenciais comprometidas e configurações inseguras podem transformar servidores públicos em pontos de apoio para campanhas que possuem objetivos completamente diferentes dos serviços originalmente hospedados.
Esse cenário é especialmente relevante para administradores Linux: um servidor aparentemente secundário pode ser usado para esconder atividades contra organizações muito maiores e mais valiosas.
Por que a campanha preocupa empresas brasileiras
A presença de organizações brasileiras entre os alvos ou na região de interesse da campanha amplia a importância do caso para equipes de segurança nacionais.
Empresas brasileiras que atuam em defesa, aeroespacial, engenharia, tecnologia e pesquisa podem possuir propriedade intelectual, projetos técnicos, informações comerciais e dados de fornecedores com elevado valor estratégico.
Além disso, organizações menores que mantêm servidores WordPress ou Roundcube podem acabar envolvidas indiretamente, mesmo sem serem o objetivo final do Lazarus.
Esse modelo cria dois riscos diferentes. A empresa pode ser atacada diretamente por meio de seus funcionários ou pode ter sua infraestrutura comprometida e posteriormente utilizada contra terceiros.
Como se proteger das novas táticas do Lazarus
A primeira prioridade para ambientes Windows é aplicar as atualizações de segurança da Microsoft e tratar a CVE-2026-68820 como uma vulnerabilidade de alta prioridade quando os sistemas afetados estiverem presentes no ambiente.
Administradores também devem revisar mecanismos de proteção e investigar sinais de exploração de privilégios, execução suspeita de processos e alterações inesperadas em componentes do sistema.
No lado Linux, servidores públicos precisam permanecer atualizados. Isso inclui WordPress, plugins, temas, PHP, distribuições Linux e Roundcube. A CVE-2025-49113 deve ser tratada especificamente em ambientes que utilizem versões vulneráveis do webmail.
Também é recomendável realizar auditorias periódicas para identificar webshells, contas administrativas desconhecidas, arquivos modificados recentemente, tarefas agendadas suspeitas e conexões de saída incomuns.
Nas empresas, o treinamento contra engenharia social precisa acompanhar esse novo cenário. Funcionários devem desconfiar de ofertas de emprego que solicitem a instalação de softwares, leitores de documentos ou arquivos fornecidos por supostos recrutadores.
A adoção do modelo Zero Trust também reduz o impacto de um eventual comprometimento. Nenhum usuário, aplicativo ou dispositivo deve receber confiança automática apenas porque está dentro da rede corporativa.
Por fim, equipes de segurança precisam correlacionar eventos. Uma conexão suspeita isolada pode parecer irrelevante, assim como uma tentativa de elevação de privilégios. Porém, quando esses eventos aparecem associados a um documento recebido pelo LinkedIn e a comunicações incomuns com serviços de nuvem, o conjunto pode revelar uma campanha de espionagem.
O caso envolvendo o Lazarus mostra que as ameaças mais sofisticadas já não dependem de um único ponto de entrada. Uma falsa oportunidade de emprego pode iniciar a infecção, uma vulnerabilidade zero-day pode ampliar os privilégios e um servidor Linux comprometido pode esconder a infraestrutura de comando.
Para empresas brasileiras, a principal lição é direta: atualização, monitoramento comportamental, hardening de servidores e conscientização dos funcionários precisam funcionar como uma única estratégia de defesa. Em campanhas direcionadas, proteger somente o Windows ou somente o servidor Linux não é suficiente.
