Lazarus mira defesa e setor aeroespacial no Brasil com zero‑day do Windows e falsas vagas de emprego
O grupo de hackers Lazarus, ligado à Coreia do Norte, intensificou uma campanha de espionagem digital contra empresas de defesa e do setor aeroespacial em diversos países, incluindo o Brasil. A operação explora uma falha grave e inédita (zero‑day) no Windows e combina técnicas sofisticadas de engenharia social com ferramentas avançadas de malware e rootkits em modo kernel.
De acordo com pesquisadores de segurança, essa ofensiva faz parte da já conhecida Operation Dream Job, uma campanha de longo prazo voltada a enganar profissionais altamente qualificados com promessas de vagas atraentes em grandes empresas globais. A meta final é obter acesso privilegiado a redes corporativas sensíveis, roubar informações estratégicas e manter presença persistente dentro dos sistemas comprometidos.
Como funciona o golpe das falsas vagas
Os operadores do Lazarus abordam funcionários de empresas-alvo por meio de plataformas profissionais, como o LinkedIn, apresentando-se como recrutadores de organizações renomadas do setor de defesa e tecnologia. Entre as marcas usadas como isca aparecem nomes como Lockheed Martin e Enveil, o que confere credibilidade à abordagem inicial.
Depois de estabelecer uma conversa aparentemente legítima, os criminosos enviam às vítimas supostos materiais de processo seletivo: descrições de vaga, formulários ou testes técnicos em formato PDF. Em alguns cenários, a vítima é induzida a instalar um “visualizador de PDF especial”, que na verdade é um software adulterado. Em outros, recebe um arquivo criptografado e instruções detalhadas para “desbloquear” o conteúdo – etapa crítica em que se inicia a infecção.
A falha explorada: CVE‑2026‑68820 no AFD.sys
O núcleo técnico da campanha é a exploração da vulnerabilidade CVE‑2026‑68820, uma falha de escalonamento de privilégios no driver Ancillary Function Driver for WinSock (AFD.sys), componente do Windows responsável por funções de rede em baixo nível. Com pontuação 7,0 no sistema CVSS, a brecha permite que um atacante, já presente no sistema com privilégios limitados, eleve seus direitos até o nível SYSTEM, o mais alto no ambiente Windows.
Essa vulnerabilidade foi corrigida pela Microsoft em atualizações de segurança liberadas no Patch Tuesday de agosto de 2026. No entanto, o Lazarus foi capaz de explorá‑la como zero‑day, ou seja, antes de a correção estar disponível ou amplamente aplicada pelas organizações, o que aumenta consideravelmente o impacto dos ataques.
Duas cadeias de infecção paralelas
A campanha identificada se divide em duas cadeias de infecção distintas, ambas convergindo para o mesmo objetivo: instalar backdoors furtivos e conquistar controle remoto dos sistemas das vítimas.
1. Cadeia baseada em DLL side‑loading e MISTPEN
Na primeira cadeia, a vítima é convidada a baixar um pacote de arquivos supostamente relacionado ao processo seletivo. Esse pacote contém um arquivo criptografado que, ao ser executado, aciona um mecanismo de DLL side‑loading: um executável legítimo carrega uma biblioteca maliciosa chamada libmupdf.dll.
Enquanto o usuário visualiza uma descrição de vaga bem elaborada, acreditando estar participando de um processo de recrutamento real, a DLL maliciosa executa em memória o MISTPEN, um downloader que se comunica com a infraestrutura dos atacantes utilizando serviços legítimos da Microsoft, como a API do Microsoft Graph e o OneDrive. Essa escolha dificulta a detecção, pois o tráfego parece fazer parte do uso cotidiano da suíte de produtividade.
O MISTPEN baixa módulos adicionais responsáveis por reconhecimento do ambiente, coleta de dados e estabelecimento de persistência. Em seguida, dispara o exploit contra a falha no AFD.sys para escalar privilégios ao nível SYSTEM. Após essa etapa, é instalado o backdoor ForestTiger (também conhecido como ScoringMathTea), que oferece aos atacantes acesso remoto completo ao computador comprometido, inclusive com possibilidade de movimentação lateral dentro da rede corporativa.
2. Cadeia baseada no visualizador adulterado SecurityPDF e Troy
Na segunda cadeia, os criminosos disseminam um programa chamado SecurityPDF, apresentado como um visualizador necessário para abrir documentos protegidos de uma empresa de tecnologia de segurança, a Enveil. O software é distribuído por sites falsos que imitam a identidade visual da companhia, reforçando a narrativa de legitimidade.
Uma vez instalado, o SecurityPDF monitora silenciosamente todos os arquivos PDF abertos pelo usuário. Quando identifica um marcador específico embutido no documento – que funciona como um gatilho -, o aplicativo descriptografa e executa uma carga maliciosa em memória. Essa carga, por sua vez, injeta um novo backdoor, batizado de Troy.
O Troy coloca à disposição dos operadores 17 comandos diferentes, incluindo:
– enumeração de arquivos e diretórios
– upload e download de documentos
– compactação e exfiltração de dados sensíveis
– acesso interativo a um shell remoto
– encerramento de processos
– injeção de DLLs diretamente na memória
– alterações em parâmetros de configuração do sistema
Com esse conjunto de funcionalidades, o Troy se torna uma ferramenta versátil tanto para espionagem quanto para preparação de ataques posteriores, como sabotagem ou implantação de ransomware em fases mais avançadas da intrusão.
Módulos adicionais carregados pelo MISTPEN
O MISTPEN atua como uma plataforma modular, capaz de baixar e executar componentes específicos de acordo com os objetivos da operação. Entre os módulos observados, destacam‑se:
– GetInfoPlugin – coleta dados detalhados sobre o computador, como versão do sistema operacional, configurações de rede, domínio, usuários e hardware, enviando tudo para os servidores de comando e controle.
– PvPlugin – aprofunda o reconhecimento, mapeando processos em execução, serviços instalados, softwares de segurança ativos e outras características que ajudem a adaptar a ofensiva ao ambiente alvo.
– OneScreenCapture – realiza capturas de tela de todos os monitores conectados à máquina, convertendo as imagens para o formato JPEG antes de transmiti‑las aos atacantes. Esse recurso permite visualizar documentos abertos, consoles de administração e até credenciais exibidas na tela.
– Módulo de escalonamento de privilégios (loader) – componente especificamente desenhado para apoiar a exploração local de privilégios. Ele recolhe informações do sistema, gera material criptográfico utilizando o algoritmo pós‑quântico ML‑KEM e usa a chave negociada para descriptografar e executar o FudModule.
O uso de criptografia com algoritmos pós‑quânticos, ainda pouco comuns em malwares, reforça o caráter avançado da campanha e a preocupação dos atacantes em dificultar a análise e a interceptação de suas comunicações.
FudModule 3.1: rootkit em modo kernel e evasão de segurança
O FudModule é um rootkit operando em modo kernel, utilizado repetidamente pelo Lazarus desde pelo menos 2022. Na campanha atual, foi identificada a versão 3.1, que traz melhorias em furtividade e capacidade de interferir diretamente em mecanismos de segurança do Windows.
Explorando a vulnerabilidade CVE‑2026‑68820 no AFD.sys, os invasores obtêm privilégios SYSTEM e injetam uma nova instância do MISTPEN em um processo que já está rodando com esse nível de permissão. Dessa maneira, o malware passa a operar com direitos máximos, reduzindo a chance de ser bloqueado por soluções de segurança tradicionais.
A nova iteração do FudModule amplia também a possibilidade de contornar o Smart App Control, recurso introduzido pela Microsoft para ajudar usuários a executar apenas aplicativos considerados confiáveis. Ao manipular ou enganar esse mecanismo, o rootkit aumenta a janela de atuação dos malwares carregados, que passam a ser executados sem alertas evidentes ao usuário final.
Uso de infraestrutura legítima e servidores comprometidos
Um aspecto estratégico da operação é o uso intenso de infraestrutura legítima comprometida para hospedar ou intermediar o comando e controle (C2) dos backdoors, em vez de recorrer apenas a servidores dedicados criados pelos próprios atacantes. Foram identificados:
– sites WordPress invadidos
– instâncias do SharePoint comprometidas
– múltiplos servidores Roundcube vulneráveis
Esses recursos foram aproveitados como peças da cadeia de comunicação do ForestTiger e de outros componentes, tornando o tráfego malicioso visualmente semelhante a acessos rotineiros a serviços amplamente utilizados.
No caso dos servidores Roundcube, os atacantes exploraram falhas conhecidas para instalar um web shell em PHP até então não documentado, apelidado de RelayShell pelos pesquisadores. Esse web shell funciona como uma ponte entre o navegador dos operadores e o servidor comprometido, permitindo a emissão de comandos, movimentação de arquivos, implantação de novos malwares e até o uso do próprio servidor como proxy para esconder a origem real do tráfego.
Impacto específico para o Brasil e o setor de defesa
O fato de empresas brasileiras dos segmentos de defesa e aeroespacial estarem entre os alvos é um indicativo claro de interesse geopolítico. Essas organizações lidam com projetos sensíveis, tecnologia de ponta, contratos governamentais e informações estratégicas sobre capacidade militar e programas de pesquisa.
Ao comprometer estações de trabalho e redes internas, o Lazarus pode obter:
– projetos técnicos e diagramas de sistemas de armamento ou plataformas aeroespaciais
– dados de integração com fornecedores estrangeiros
– correspondências confidenciais com órgãos governamentais
– credenciais que permitam avançar para redes ainda mais sensíveis
Mesmo quando o ataque não resulta imediatamente em roubo massivo de dados, a simples presença de um backdoor furtivo em máquinas críticas representa um risco de longo prazo, abrindo caminho para futuras operações.
Por que o uso de engenharia social é tão eficaz
Ao invés de apostar exclusivamente em vulnerabilidades técnicas, o Lazarus investe pesado em engenharia social, explorando expectativas e ambições profissionais. Ofertas de emprego com salários atrativos e possibilidade de atuação em projetos de alto impacto se mostram um isca extremamente eficaz para perfis técnicos de alto nível, justamente o público que tem acesso a informações privilegiadas.
Os criminosos costumam:
– personalizar mensagens com base em dados públicos do perfil
– citar detalhes do currículo da vítima para ganhar confiança
– usar linguagem profissional e bem estruturada
– criar supostos “testes técnicos” ou “casos práticos” que exigem o download de arquivos
Esse cuidado no relacionamento inicial reduz a desconfiança e leva muitos profissionais a executar arquivos ou instalar softwares maliciosos em máquinas corporativas, ultrapassando barreiras técnicas que, de outra forma, seriam mais difíceis de transpor.
Medidas de mitigação para empresas brasileiras
Diante da sofisticação dessa campanha e do foco em setores críticos, organizações brasileiras, em especial as envolvidas com defesa, aviação, satélites, telecomunicações e pesquisa avançada, precisam reforçar imediatamente seus controles. Algumas ações prioritárias incluem:
– Aplicar correções de segurança com agilidade, garantindo que a vulnerabilidade no AFD.sys e outras falhas conhecidas estejam devidamente corrigidas em todos os endpoints.
– Fortalecer a autenticação com uso de múltiplos fatores, principalmente para contas com privilégios elevados e acessos remotos.
– Implantar soluções de EDR/XDR capazes de detectar comportamentos suspeitos, como execução de código apenas em memória, uso anômalo de APIs de serviços em nuvem e tentativas de escalonamento de privilégios.
– Monitorar acessos a serviços de e‑mail e colaboração, identificando conexões suspeitas a instâncias de WordPress, SharePoint e Roundcube que não façam parte da infraestrutura oficial.
– Restringir a instalação de softwares não autorizados, especialmente visualizadores de documentos e ferramentas de terceiros, por meio de listas de permissão (allowlist) e políticas de aplicação.
Boas práticas para usuários e profissionais de alto valor
Para os profissionais que atuam em áreas sensíveis, a postura pessoal de segurança é tão importante quanto os controles técnicos da empresa. Algumas recomendações práticas:
– Desconfiar de propostas de emprego inesperadas com salários muito acima da média ou com urgência excessiva.
– Verificar diretamente com o site oficial da empresa se existe de fato a vaga anunciada.
– Evitar abrir anexos de origem desconhecida em computadores corporativos, mesmo que o remetente pareça legítimo.
– Nunca instalar “visualizadores especiais” ou “leitores protegidos” sem validação da equipe de TI ou do time de segurança da informação.
– Separar o uso de dispositivos pessoais e corporativos, reduzindo o risco de que um ataque direcionado à pessoa física comprometa a infraestrutura da organização.
Perspectivas e tendências
A operação analisada mostra que o Lazarus continua evoluindo em três frentes: exploração de falhas de dia zero, desenvolvimento de módulos de malware sofisticados (com uso de técnicas pós‑quânticas e rootkits em kernel) e aperfeiçoamento da engenharia social direcionada a profissionais estratégicos.
É razoável esperar que campanhas semelhantes se tornem mais frequentes, com adaptação das iscas a diferentes momentos do mercado de trabalho, a novos perfis profissionais e a outras plataformas além do LinkedIn. Ao mesmo tempo, a tendência é que grupos avançados continuem a abusar de infraestrutura comprometida e de serviços em nuvem amplamente utilizados para mascarar comunicações maliciosas.
Para o Brasil, em especial nos setores de defesa e aeroespacial, a mensagem é clara: o país está no radar de atores estatais estrangeiros e precisa tratar a cibersegurança como um componente estrutural de soberania e competitividade tecnológica, e não apenas como um custo operacional ou um problema pontual de TI.