A Check Point Research identificou uma nova fase da Operation Dream Job, uma campanha de ciberespionagem associada ao grupo Lazarus, ligado à Coreia do Norte.
A operação está a ser acompanhada desde o início de 2026 e tem como principais alvos organizações dos setores da defesa, aviação e indústria aeroespacial. Foram identificados ataques na Europa, Índia e América do Sul.
Os hackers fazem-se passar por recrutadores e apresentam oportunidades de emprego em empresas conhecidas. A investigação encontrou uma descrição de emprego falsa em nome da Lockheed Martin e propostas fraudulentas que imitavam a empresa tecnológica Enveil. Não existem indícios de que estas empresas tenham participado no ataque.
A Check Point não conseguiu confirmar como aconteceu o primeiro contacto nesta nova campanha. Com base em operações anteriores, considera provável que os criminosos utilizem redes profissionais, como o LinkedIn, ou aplicações de mensagens.
Como funciona o ataque?
Depois de conquistar a confiança da vítima, o falso recrutador pede-lhe que descarregue um ficheiro ZIP encriptado. Existem duas formas diferentes de concretizar o ataque.
Na primeira, o ficheiro inclui:
- Um leitor de PDF legítimo e assinado digitalmente;
- Um ficheiro malicioso concebido para executar código escondido no Windows;
- Um ficheiro encriptado disfarçado de documento PDF.
Quando a vítima abre o leitor de PDF, surge no ecrã uma descrição de emprego aparentemente normal. Ao mesmo tempo, o ficheiro malicioso é carregado pelo programa e executa o MISTPEN diretamente na memória do computador.
Este programa recolhe informações sobre o sistema, analisa os processos em execução e pode fazer capturas do ecrã. Também utiliza o Microsoft Graph e o OneDrive para descarregar outros componentes sem levantar tantas suspeitas.
Na versão mais recente do ataque, as vítimas recebem um leitor de PDF adulterado chamado SecurityPDF. Quando este é utilizado para abrir o documento enviado pelos hackers, extrai e executa um ficheiro escondido que instala uma nova porta de acesso remoto chamada Troy.
Alguns dos sites falsos utilizados para distribuir o SecurityPDF chegaram aos primeiros lugares dos resultados de pesquisa. Isto demonstra que aparecer no topo do Google não significa necessariamente que uma página seja legítima.
Os documentos PDF são frequentemente utilizados como disfarce em campanhas deste género. Recentemente, foi identificado outro ataque com PDFs capaz de comprometer computadores.
Malware aproveita falha do Windows
Depois de entrar no computador, o malware explora a vulnerabilidade CVE-2026-68820 no componente AFD.sys do Windows, responsável por parte das ligações de rede.
Esta era uma falha zero-day, o que significa que estava a ser explorada antes de existir uma correção. Permite que um programa malicioso que já esteja no computador obtenha privilégios de SYSTEM, o nível mais elevado de acesso no Windows.
Com estas permissões, o malware consegue reduzir a visibilidade das ferramentas de segurança, manter-se ativo depois de o computador reiniciar e dar aos hackers acesso remoto prolongado.
A Microsoft corrigiu a vulnerabilidade na atualização de segurança lançada a 11 de agosto de 2026.
Como evitar este ataque
A primeira medida é instalar imediatamente as atualizações disponíveis:
- Abre as Definições;
- Entra em Windows Update;
- Seleciona Procurar atualizações;
- Instala tudo o que estiver disponível e reinicia o computador.
Manter o sistema atualizado também protege o equipamento de outras falhas do Windows que podem dar controlo do computador aos hackers.
Além da atualização, deves ter os seguintes cuidados:
- Confirma a identidade do recrutador através do site oficial da empresa;
- Não utilizes os contactos ou as ligações incluídas na própria mensagem para fazer essa verificação;
- Não instales leitores de PDF enviados por recrutadores;
- Desconfia de ficheiros ZIP encriptados, sobretudo quando incluem programas ou bibliotecas DLL;
- Não assumas que um site é seguro apenas por aparecer no topo do Google;
- Abre os documentos num leitor de PDF que já tenhas instalado e atualizado.
Se já instalaste ou executaste algum dos ficheiros suspeitos, desliga o computador da Internet e contacta imediatamente a equipa de informática da empresa. Num computador pessoal, faz uma análise de segurança completa e altera as palavras-passe importantes através de outro dispositivo seguro.
A atualização do Windows corrige a falha utilizada para aumentar os privilégios, mas não impede a instalação inicial do malware. Por isso, é necessário combinar a atualização com a verificação cuidadosa de qualquer proposta de emprego inesperada.
