Nordkoreanische Hackergruppe Lazarus lockt mit falschen Rüstungsjobs

Die nordkoreanische Hackergruppe Lazarus hat in einer aktuellen Kampagne gezielt Beschäftigte aus der Rüstungs- und Luftfahrtindustrie ins Visier genommen.

Check Point Research zufolge kombinierten die Angreifer gefälschte Stellenangebote mit einer bislang unbekannten Backdoor, kompromittierter Infrastruktur und einer inzwischen geschlossenen Zero-Day-Lücke in Windows.

Angriff beginnt bei der Jobsuche

Die Kampagne läuft unter dem Namen „Dream Job“ und ist nicht neu: Lazarus setzt gefälschte Karriereangebote bereits seit 2020 als Mittel für Cyberangriffe ein. In der aktuellen Variante richteten sich die Attacken unter anderem gegen Beschäftigte von Rüstungs- und Luftfahrtunternehmen in Deutschland, Frankreich und Indien.

Den Opfern wurden attraktive Positionen bei bekannten Unternehmen aus der Branche angeboten. Als Köder dienten unter anderem Namen wie Lockheed Martin und Enveil. Hinter den vermeintlichen Bewerbungsangeboten verbargen sich jedoch manipulierte Webseiten und Schadsoftware.

Besonders perfide: Die Angreifer versuchten nicht nur, bekannte Unternehmensseiten nachzuahmen. Sie optimierten einige ihrer gefälschten Webseiten gezielt für Suchmaschinen. Dadurch konnten diese bei passenden Google-Suchen weit oben erscheinen und auf potenzielle Bewerber wie legitime Karriereangebote wirken.

Schadsoftware statt Bewerbungsunterlagen

Wer auf die gefälschten Angebote reagierte, wurde dazu gebracht, Software herunterzuladen. In einem Fall handelte es sich um einen vermeintlichen PDF-Viewer namens „SecurityPDF“.

Das Programm enthielt jedoch einen Trojaner. Im Hintergrund wurde die Schadsoftware „Troy“ gestartet, eine bislang nicht dokumentierte modulare Backdoor. Nach Angaben von Check Point Research verfügt sie über 17 verschiedene Befehle, mit denen die Angreifer die infizierten Systeme steuern können.

Damit endete die Angriffskette jedoch nicht. Lazarus setzte zusätzlich ein neues FudModule-Rootkit ein, das als Version 3.1 identifiziert wurde.

Zero-Day-Lücke verschafft weitreichende Rechte

Eine zentrale Rolle spielte dabei die Windows-Sicherheitslücke CVE-2026-68820 im Microsoft-Treiber AFD.sys. Die zuvor unbekannte Schwachstelle konnte von den Angreifern genutzt werden, um sich SYSTEM-Rechte auf betroffenen Rechnern zu verschaffen.

Damit erhielten sie besonders weitreichende Zugriffsrechte und konnten gleichzeitig Sicherheitsmechanismen auf den Endgeräten umgehen. Check Point Research meldete die Schwachstelle im Rahmen eines Responsible-Disclosure-Verfahrens an Microsoft.

Microsoft hat die Lücke inzwischen geschlossen. Der entsprechende Sicherheitspatch wurde im Rahmen des Patch Tuesday vom 11. August 2026 veröffentlicht.

(Bildquelle: Check Point Research)

Lazarus versteckt seine Infrastruktur

Auch bei der Kommunikation zwischen den infizierten Systemen und den Angreifern setzte Lazarus auf eine ungewöhnliche Strategie. Statt ausschließlich eigene Command-and-Control-Server zu betreiben, wurden kompromittierte Systeme legitimer Organisationen als Zwischenstationen verwendet.

Die Gruppe missbrauchte unter anderem gehackte Roundcube-Webmail-Installationen und Content-Management-Systeme. Bei einigen dieser Server war eine weitere Schwachstelle, CVE-2025-49113, noch nicht geschlossen.

Für die Angriffe nutzte Lazarus offenbar auch Zugangsdaten, die zuvor über Leaks im Dark Web verfügbar geworden waren. Mindestens 17 kompromittierte Server wurden mithilfe einer neuen RelayShell-Webshell zu Relais für die Kommunikation mit den infizierten Systemen umfunktioniert.

Vertrauen wird selbst zum Angriffswerkzeug

Besonders problematisch ist laut Check Point die Verwendung bereits kompromittierter Organisationen für weitere Angriffe. In einem Fall wurde eine Organisation mit Hauptsitz in Frankreich missbraucht, um von deren Infrastruktur aus neue Spear-Phishing-Angriffe durchzuführen.

Damit nutzten die Angreifer nicht nur technische Schwachstellen aus, sondern auch das Vertrauen, das Unternehmen, Domains und etablierte Kommunikationswege genießen. Ein kompromittierter Dienst kann dadurch zur Ausgangsbasis für weitere Attacken werden.

Sergey Shykevich, Director Threat Intelligence bei Check Point Software, warnt deshalb vor einem zu engen Blick auf einzelne Sicherheitslücken. Die Gefahr bestehe auch darin, dass Lazarus „legitime und vertrauenswürdige Infrastruktur in den Angriff eingebunden“ habe.

Patchen reicht allein nicht aus

Die Kampagne zeigt, wie eng technische und soziale Angriffsmethoden inzwischen miteinander verbunden sind. Ein gefälschtes Jobangebot führt zum Download einer vermeintlich legitimen Anwendung, Suchmaschinenoptimierung erhöht deren Glaubwürdigkeit und eine Zero-Day-Lücke ermöglicht anschließend die Ausweitung der Kontrolle über das System.

Für Unternehmen aus besonders sensiblen Branchen bedeutet das, dass auch der Recruiting-Prozess Teil der Sicherheitsbetrachtung werden muss. Bewerber und Beschäftigte sollten beispielsweise darauf achten, Software ausschließlich aus vertrauenswürdigen Quellen zu beziehen und ungewöhnliche Bewerbungsprozesse kritisch zu hinterfragen.

Check Point empfiehlt darüber hinaus, die verfügbaren Microsoft-Updates zeitnah einzuspielen und das Zero-Trust-Prinzip nicht nur auf interne Systeme anzuwenden. Auch externe Webseiten, Dienstleister und Partnerinfrastrukturen müssen demnach als potenzielle Angriffswege betrachtet werden.

Die „Dream Job“-Kampagne macht damit deutlich, wie effektiv Lazarus klassische Täuschung mit moderner Schadsoftware und kompromittierter Infrastruktur verbindet. Gerade Unternehmen aus Rüstung, Luftfahrt und anderen strategisch wichtigen Branchen müssen deshalb nicht nur ihre eigenen Systeme schützen, sondern auch die Vertrauensbeziehungen rund um ihre digitalen Prozesse im Blick behalten.

(red/Check Point)