Lazarus mira defesa e setor aeroespacial no Brasil com zero-day do Windows e vaga falsa de emprego
O grupo de ciberespionagem Lazarus, ligado à Coreia do Norte, ampliou suas operações contra empresas de defesa e do segmento aeroespacial, incluindo alvos no Brasil. A nova campanha explora uma vulnerabilidade inédita no Windows, combinada com engenharia social sofisticada baseada em falsas oportunidades de emprego altamente convincentes.
Campanha global com foco em defesa e aeroespaço
De acordo com pesquisadores de segurança, organizações da França, Alemanha, Brasil e Índia foram atingidas. O foco são empresas envolvidas em defesa, tecnologia militar, inteligência e projetos aeroespaciais – setores em que propriedade intelectual, projetos sigilosos e dados de pesquisa têm enorme valor estratégico.
Os ataques fazem parte de uma operação de longo prazo associada ao Lazarus, conhecida como Operation Dream Job. A tática central continua sendo a mesma: convencer profissionais qualificados de que estão em processo seletivo para vagas de alto nível em empresas renomadas, para então comprometer seus computadores.
Falsas vagas em empresas famosas como isca
Os operadores do Lazarus abordam profissionais principalmente por meio de plataformas de networking profissional, apresentando-se como recrutadores de grandes companhias. Entre as marcas usadas como isca aparecem nomes de peso do setor de defesa e de tecnologia, como Lockheed Martin e Enveil.
O processo é meticuloso:
– primeiro, o “recrutador” estabelece contato personalizado,
– depois, envia descrições de vagas críveis, alinhadas ao perfil do alvo,
– em seguida, compartilha arquivos PDF ou um suposto “visualizador de PDFs corporativo” como parte do processo de seleção.
É nesse ponto que a intrusão técnica começa. O que parece ser apenas um documento com detalhes da vaga, ou um programa de visualização, é na verdade o veículo para instalar malware e abrir caminho para o acesso remoto à máquina.
Zero-day no Windows AFD.sys: CVE-2026-68820
O elemento mais crítico desta campanha é a exploração de uma falha de dia zero no Windows, rastreada como CVE-2026-68820. Trata-se de uma vulnerabilidade de escalonamento de privilégios no driver Ancillary Function Driver for WinSock (AFD.sys), componente fundamental para o funcionamento da pilha de rede do sistema operacional.
Caracterizada com pontuação 7,0 na escala CVSS, a falha permitia que um invasor, já com acesso limitado à máquina, elevasse seus privilégios até o nível SYSTEM – o mais alto no Windows. Com isso, o atacante ganha controle quase irrestrito sobre o sistema, conseguindo instalar rootkits, desativar proteções e se manter oculto por longos períodos.
A vulnerabilidade foi corrigida pela Microsoft em um pacote de atualizações de segurança (Patch Tuesday) em agosto de 2026. Porém, antes da atualização, o Lazarus já a explorava ativamente, caracterizando um típico cenário de zero-day.
Duas cadeias de infecção distintas
Os pesquisadores identificaram duas cadeias de ataque paralelas sendo utilizadas na campanha:
1. Cadeia baseada em DLL side-loading e MISTPEN
2. Cadeia baseada no visualizador adulterado SecurityPDF e no backdoor Troy
Ambas começam com o engodo da vaga de emprego, mas diferem na forma como o malware é carregado e mantido dentro do sistema.
Cadeia 1: DLL maliciosa e backdoor ForestTiger
Na primeira cadeia, a vítima é orientada a baixar um arquivo aparentemente legítimo, mas criptografado, que aciona o carregamento de uma DLL maliciosa chamada `libmupdf.dll`. Essa técnica, conhecida como DLL side-loading, explora a forma como aplicativos carregam bibliotecas do sistema.
Enquanto uma interface com a descrição da vaga é exibida – reforçando a ilusão de um processo seletivo – a DLL inicia, em segundo plano, o download e a execução direta na memória de um componente chamado MISTPEN.
O MISTPEN atua como downloader e se comunica com a infraestrutura do grupo usando serviços legítimos da Microsoft, como Graph API e OneDrive. Isso dificulta a detecção, pois o tráfego parece, à primeira vista, ser apenas uso normal de serviços em nuvem.
A partir desse ponto, o MISTPEN:
– obtém módulos adicionais para reconhecimento do ambiente e persistência,
– aciona o exploit da vulnerabilidade CVE-2026-68820 no AFD.sys para elevar privilégios,
– e instala o backdoor ForestTiger, também conhecido como ScoringMathTea, que garante acesso remoto estável ao sistema comprometido.
Cadeia 2: SecurityPDF e o backdoor Troy
Na segunda cadeia de infecção, o foco é um programa batizado de SecurityPDF, apresentado como um visualizador seguro de documentos corporativos. Ele é distribuído por sites falsos que imitam páginas da empresa Enveil, reforçando a narrativa de vaga em companhia do setor de defesa.
Depois de instalado, o SecurityPDF monitora todos os PDF que a vítima abre. Quando detecta um marcador específico embutido no documento – invisível ao usuário comum – o programa:
– descriptografa uma carga maliciosa escondida no arquivo,
– e executa essa carga diretamente na memória, sem gravá-la em disco, para reduzir a chance de detecção.
Essa etapa resulta no carregamento de um novo backdoor, chamado Troy.
Troy: 17 comandos para controle total da máquina
O Troy é uma ferramenta de acesso remoto extremamente versátil. Entre as suas capacidades, os operadores têm à disposição ao menos 17 comandos, incluindo:
– enumeração de diretórios e arquivos;
– upload e download de documentos;
– criação de arquivos compactados para facilitar exfiltração;
– captura e envio de dados sensíveis;
– abertura de shell interativo para execução de comandos em tempo real;
– encerramento de processos específicos;
– injeção de DLLs diretamente na memória;
– alterações em parâmetros de configuração para reforçar a persistência.
Com esse conjunto de funções, os invasores podem realizar reconhecimento detalhado, furtar informações sigilosas, movimentar-se lateralmente na rede corporativa e preparar etapas adicionais de ataque, como sabotagem ou implantação de outras ferramentas ofensivas.
MISTPEN: módulos especializados e técnicas avançadas
O MISTPEN, peça central da cadeia baseada em DLL, carrega pelo menos quatro módulos identificados até agora:
– GetInfoPlugin: coleta informações gerais sobre o computador, como versão do sistema, hardware e configuração básica, enviando esses dados de volta aos atacantes.
– PvPlugin: aprofunda o mapeamento, reunindo dados sobre processos em execução, serviços ativos e particularidades do ambiente, auxiliando na tomada de decisão do operador.
– OneScreenCapture: captura imagens da área de trabalho de todos os monitores conectados, em formato JPEG. Isso permite que os atacantes vejam, de forma quase em tempo real, o que o usuário está fazendo – útil especialmente em estações usadas para acessar sistemas internos sensíveis.
– Módulo de escalonamento de privilégios: funciona como um carregador especializado. Ele coleta informações do sistema, gera material criptográfico utilizando o algoritmo pós-quântico ML-KEM e utiliza a chave negociada para descriptografar e executar o componente seguinte, o FudModule.
O uso de um esquema criptográfico pós-quântico é particularmente relevante: mostra que o grupo não apenas acompanha tendências avançadas em criptografia, como também tenta dificultar a análise do tráfego e do código, antecipando possíveis medidas de monitoramento a longo prazo.
FudModule 3.1: rootkit em modo kernel e evasão de segurança
Uma vez explorada a vulnerabilidade CVE-2026-68820, os invasores conseguem executar código no contexto SYSTEM. Nesse momento, outra instância do MISTPEN é injetada em um processo com privilégios elevados, reduzindo a exposição às soluções de segurança tradicionais.
Essa etapa abre caminho para o carregamento da nova versão do rootkit do Lazarus, batizada de FudModule 3.1. Esse componente, em modo kernel, vem sendo aprimorado pelo grupo desde pelo menos 2022, sempre com o mesmo objetivo: esconder a presença das ferramentas maliciosas dos produtos de segurança.
Entre as capacidades ampliadas dessa versão estão:
– mecanismos mais sofisticados de ocultação de processos e drivers maliciosos;
– interferência direta no Smart App Control do Windows, recurso que verifica a confiabilidade de aplicativos antes de permitir sua execução;
– manipulação de verificações de integridade, permitindo que binários não confiáveis pareçam legítimos ou passem despercebidos.
Na prática, o rootkit cria uma camada de invisibilidade, dificultando que antivírus, EDRs e outras soluções de proteção detectem a atividade maliciosa, mesmo quando há comportamentos anômalos.
Infraestrutura de comando e controle camuflada em serviços legítimos
Outro aspecto marcante da operação é o uso intenso de infraestrutura legítima comprometida para o comando e controle (C2). Em vez de se apoiar apenas em servidores próprios, mais fáceis de bloquear, o Lazarus se valeu de:
– sites baseados em WordPress invadidos;
– instâncias de SharePoint fora de conformidade;
– e servidores vulneráveis do sistema de webmail Roundcube.
Esses sistemas, após comprometidos, foram convertidos em pontos de controle para ferramentas como o ForestTiger. O tráfego do malware se mistura ao fluxo normal de acesso a sites e serviços amplamente utilizados, complicando consideravelmente a tarefa de distinguir conexões maliciosas do uso legítimo da web corporativa.
RelayShell: web shell inédito em servidores Roundcube
Em vários servidores Roundcube comprometidos, os analistas identificaram a presença de um web shell em PHP até então não documentado, nomeado RelayShell.
Esse web shell funciona como uma porta de entrada remota:
– permite aos atacantes executar comandos no servidor web;
– gerenciar arquivos;
– e estabelecer túneis de comunicação com outras máquinas comprometidas dentro da rede.
Ao usar o RelayShell, o grupo consegue manter um ponto de apoio duradouro em infraestruturas alheias, usando esses servidores como intermediários para repassar comandos e receber dados exfiltrados dos backdoors presentes nos endpoints das vítimas. Isso cria uma cadeia de comunicação em camadas, dificultando a atribuição e o bloqueio simples por IP ou domínio.
Impacto para o Brasil e riscos específicos ao setor de defesa
Para o Brasil, o envolvimento dessa campanha é particularmente sensível. Empresas de defesa, tecnologia dual-use (com aplicação civil e militar) e projetos aeroespaciais nacionais se inserem em uma disputa geopolítica maior, na qual a informação é moeda de poder.
Os riscos incluem:
– roubo de projetos de armamentos, satélites, sistemas de comunicação e radares;
– acesso a documentos de contratos, licitações, parcerias internacionais e dados confidenciais de clientes governamentais;
– mapeamento de redes e sistemas críticos, que podem ser alvo de futuras operações de sabotagem ou chantagem.
Mesmo organizações menores, que prestam serviços ou fornecem componentes para grandes integradores de defesa, tornam-se alvos valiosos como pontos de entrada na cadeia de suprimentos.
Como as empresas podem mitigar esse tipo de ataque
Diante da combinação de engenharia social avançada com exploração de zero-day e rootkits em modo kernel, apenas medidas técnicas básicas não são suficientes. Algumas ações estratégicas importantes:
– Política clara para processos seletivos: orientar colaboradores a nunca instalar programas enviados por supostos recrutadores externos e desconfiar de pedidos atípicos em processos de contratação.
– Treinamento contínuo de segurança: simulações de phishing e campanhas educativas específicas sobre vagas falsas e abordagens de headhunters.
– Gestão rigorosa de patches: ainda que zero-days sejam explorados antes da correção pública, reduzir a “janela de exposição” aplicando atualizações críticas o mais rápido possível continua essencial.
– Monitoramento avançado de endpoints: uso de EDR/XDR com capacidade de detectar comportamento anômalo, injeção em memória, uso suspeito de APIs da nuvem e escalonamento de privilégios.
– Segmentação de rede e princípio do menor privilégio: limitar o impacto de uma máquina comprometida, reduzindo as possibilidades de movimentação lateral e acesso a sistemas sensíveis.
– Auditoria de servidores expostos: verificar regularmente WordPress, plataformas colaborativas e servidores de e-mail web, corrigindo vulnerabilidades e monitorando a presença de web shells como o RelayShell.
Por que o caso ilustra um novo patamar de profissionalização
A campanha associada ao Lazarus evidencia a maturidade das operações de ciberespionagem patrocinadas por Estados. Entre os fatores que chamam a atenção:
– uso combinado de engenharia social altamente direcionada com exploits sofisticados;
– integração de criptografia pós-quântica na cadeia de carregamento dos módulos;
– rootkits avançados focados em burlar recursos nativos de segurança do Windows;
– uso sistemático de infraestrutura legítima comprometida para mascarar o tráfego malicioso.
Para o setor de defesa e aeroespacial, isso reforça a necessidade de encarar segurança cibernética não apenas como requisito técnico, mas como componente estratégico de soberania e competitividade. A proteção de projetos, dados e processos de pesquisa passa, inevitavelmente, por uma postura proativa diante de grupos como o Lazarus, que demonstram capacidade de operar de forma persistente e silenciosa por anos dentro de ambientes críticos.