Die unter dem Namen Lazarus Group bekannte Hackergruppe hat eine gezielte Cyberspionage-Kampagne gegen Verteidigungsorganisationen in Europa und Indien intensiviert. In der als „Operation Dream Job“ identifizierten Angriffswelle nutzen die Akteure manipulierte PDF-Anwendungsprogramme und eine kritische Sicherheitslücke im Windows-Betriebssystem, um tiefgreifende Systemrechte zu erlangen und vertrauliche Daten zu extrahieren.
Manipulierte PDF-Software als Einstiegsvektor
Im Zentrum der aktuellen Angriffe stehen gefälschte Stellenangebote, mit denen Mitarbeiter in der Verteidigungs- und Luftfahrtindustrie kontaktiert werden. Wie Sicherheitsanalysten von Check Point Research am 11. August 2026 berichteten, werden die Opfer dazu verleitet, vermeintlich sichere PDF-Betrachter herunterzuladen, um Details zu den Jobangeboten einzusehen. Dabei kommen trojanisierte Versionen gängiger Software wie Sumatra PDF und MuPDF sowie ein als „SecurityPDF“ getarntes Schadprogramm zum Einsatz.
Durch ein Verfahren namens DLL-Sideloading wird über diese Anwendungen ein Downloader namens MISTPEN auf die Zielsysteme geschleust. Dieser dient als Brückenkopf für die weitere Infiltration des Netzwerks. Die Kampagne wird von Beobachtern bereits seit Anfang des Jahres 2026 verfolgt und zeichnet sich durch eine hohe technische Präzision aus.
Ausnutzung einer Zero-Day-Lücke und Einsatz von Rootkits
Ein wesentliches Merkmal der aktuellen Operation ist die Ausnutzung einer bisher unbekannten Schwachstelle im Windows-Treiber für die Unterstützung von Netzwerk-Anwendungen (AFD.sys). Diese als CVE-2026-68820 geführte Zero-Day-Lücke ermöglichte es den Angreifern, Sicherheitsmechanismen des Betriebssystems zu umgehen.
Wer sich mit der Absicherung seiner Systeme befasst, sollte die neuesten technologischen Standards für den Identitätsschutz kennen. Dieser kostenlose Report zeigt, wie Sie Passkeys bei großen Diensten einrichten und so Ihre Konten effektiv vor Hackern schützen. Was hinter Passkeys steckt – jetzt gratis nachlesen
Nach Angaben von IT-Sicherheitsexperten wurde die Schwachstelle genutzt, um die Version 3.1 des sogenannten FudModule-Rootkits zu installieren. Dieses Schadprogramm ist darauf ausgelegt, Sicherheitssoftware zu deaktivieren und den Angreifern dauerhaften Zugriff auf den Kernel des Betriebssystems zu gewähren. Microsoft stellte am 11. August 2026 einen Patch zur Verfügung, um diese Sicherheitslücke zu schließen.
Infrastruktur und neue Hintertüren
Neben der direkten Infektion von Arbeitsstationen hat die Lazarus Group auch die Webmail-Plattform Roundcube kompromittiert. Durch die Ausnutzung der Schwachstelle CVE-2025-49113 gelang es den Angreifern, eine Webshell namens RelayShell zu implementieren. Diese dient dazu, kompromittierte Server als Command-and-Control-Infrastruktur (C2) zu nutzen, um Befehle an die infizierten Systeme im Zielnetzwerk weiterzuleiten.
Im Zuge der Untersuchungen wurde zudem eine neue Hintertür entdeckt, die von den Analysten als „Troy“ bezeichnet wird. Diese Schadsoftware verfügt über ein Repertoire von 17 Befehlen, mit denen die Angreifer Dateien verwalten, Systeminformationen sammeln und weitere Schadmodule nachladen können.
Angesichts der komplexen Bedrohungslage durch professionelle Hacker-Angriffe ist ein proaktiver Schutz für die gesamte IT-Infrastruktur unerlässlich. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihr Unternehmen wirksam absichern. Gratis-Checkliste für IT-Sicherheit jetzt herunterladen
Berichte über massive Datenabflüsse
Zusätzlich zu den Angriffen auf den Verteidigungssektor wurden am 12. August 2026 Berichte über ein mutmaßliches Datenleck beim Hotel Gran Caribe bekannt, das ebenfalls mit der Lazarus Group in Verbindung gebracht wird. Demnach sollen rund 110 Gigabyte an Daten entwendet worden sein. Unter den betroffenen Informationen befänden sich angeblich 26.094 Passdatensätze. Diese Angaben sind zum gegenwärtigen Zeitpunkt jedoch noch nicht unabhängig verifiziert worden.
Sicherheitsexperten raten Organisationen im Verteidigungssektor dringend dazu, ihre Systeme hinsichtlich der genannten Indikatoren zu prüfen und die bereitgestellten Sicherheitsupdates für Windows und betroffene Webmail-Anwendungen umgehend einzuspielen. Die Kombination aus Social Engineering und hoch entwickelten technischen Exploits unterstreicht die anhaltende Gefahr durch staatlich gestützte Akteure im Bereich der globalen Cyberspionage.
