João Miguel Mesquita
A fronteira entre um ataque informático e uma interação profissional legítima está a tornar-se mais difícil de distinguir. Na nova vaga da Operation Dream Job identificada pela Check Point Research, os atacantes fazem-se passar por recrutadores de empresas conhecidas, apresentam oportunidades de emprego credíveis e conduzem as vítimas até documentos, aplicações e páginas concebidas para instalar código malicioso. A campanha foi identificada na Europa, Ásia e América do Sul, incluindo França, Alemanha, Índia e Brasil, e teve como alvos profissionais ligados sobretudo à defesa, ao setor aeroespacial e à aviação.
O elemento mais relevante desta operação não está apenas na utilização de uma vulnerabilidade desconhecida. Está na construção de uma cadeia de confiança. O primeiro contacto apresenta-se como uma abordagem normal de recrutamento, seguida de uma descrição de emprego plausível e de documentos com uma aparência profissional. Em alguns casos, as páginas fraudulentas chegaram a surgir entre os primeiros resultados dos motores de pesquisa, reduzindo um dos sinais de alerta que normalmente acompanha campanhas de phishing menos elaboradas.
A Check Point Research identificou duas formas distintas de comprometer os equipamentos. Numa delas, os atacantes distribuem um ficheiro comprimido com um leitor de PDF legítimo, uma biblioteca maliciosa e um ficheiro apresentado como documento. Quando o programa é aberto, o utilizador vê a oferta de emprego, enquanto o malware MISTPEN é executado diretamente na memória e descarrega componentes adicionais através da Microsoft Graph API e do OneDrive.
Na segunda cadeia, a vítima é levada a instalar o SecurityPDF, uma versão modificada de um leitor de documentos. O programa procura uma marca escondida num ficheiro preparado pelos atacantes e, quando a encontra, descodifica e executa a Troy, uma porta traseira concebida para funcionar sem chamar a atenção do utilizador. As duas técnicas mostram como ferramentas e serviços aparentemente normais podem ser incorporados na própria cadeia de ataque, tornando mais difícil separar atividade legítima de comportamento malicioso.
No centro técnico da campanha está a CVE-2026-68820, vulnerabilidade identificada no controlador AFD.sys do Windows, componente responsável pela gestão das ligações de rede. A falha resulta de uma condição de corrida que pode permitir o acesso a memória já libertada e, a partir daí, uma elevação local de privilégios.
Depois de conseguir instalar código malicioso no sistema, o atacante podia explorar esta vulnerabilidade para obter privilégios SYSTEM, o nível de acesso mais elevado no Windows, e executar o FudModule, rootkit associado ao Lazarus. A exploração da CVE-2026-68820 permitia, assim, passar de uma infeção inicial para o controlo profundo do equipamento, incluindo a possibilidade de interferir com mecanismos de segurança e reduzir a visibilidade da atividade maliciosa.
A versão 3.1 do FudModule mantém capacidades destinadas a interromper telemetria, suprimir registos e diminuir a capacidade de observação das ferramentas de proteção. Acrescenta ainda uma técnica para interferir com o Smart App Control, funcionalidade do Windows destinada a avaliar a reputação e a integridade do software executado no sistema.
A Check Point Research comunicou a vulnerabilidade ao Microsoft Security Response Center em 28 de julho de 2026. A Microsoft confirmou a falha em 31 de julho, a referência CVE-2026-68820 foi atribuída em 5 de agosto e a correção foi disponibilizada pela Microsoft na atualização de segurança de 11 de agosto de 2026.
A segunda cadeia de infeção revelou igualmente uma nova ferramenta. A Troy é uma porta traseira modular distribuída numa única biblioteca DLL e disponibiliza 17 comandos aos operadores. Entre as suas funções encontram-se a enumeração de discos e diretórios, transferência de ficheiros, criação e terminação de processos, execução de comandos, alteração de configurações e injeção de bibliotecas diretamente na memória de outros processos.
Este conjunto de capacidades permite reconhecer o ambiente comprometido, recolher informação, executar código adicional e manter acesso remoto ao sistema. A execução predominantemente em memória reduz os vestígios deixados no disco, dificultando a identificação do ataque por soluções de segurança dependentes sobretudo da análise convencional de ficheiros.
A campanha procurou ainda reduzir a exposição da infraestrutura utilizada pelos atacantes. Em vez de depender apenas de servidores próprios, o Lazarus recorreu a instalações Roundcube e plataformas de gestão de conteúdos previamente comprometidas. Algumas apresentavam a vulnerabilidade CVE-2025-49113 por corrigir, enquanto outras utilizavam contas cujas credenciais já circulavam na dark web.
Nestes sistemas foi instalada a RelayShell, uma webshell PHP identificada durante a investigação, utilizada como ponto intermédio entre os equipamentos infetados e os operadores da campanha. A Check Point Research encontrou pelo menos 17 identificadores únicos associados a esta infraestrutura. Ao utilizar servidores e organizações reais como intermediários, os atacantes misturavam as suas comunicações com tráfego legítimo, tornando a atividade mais difícil de identificar através de indicadores tradicionais.
Numa das situações investigadas, uma organização francesa anteriormente comprometida foi utilizada para enviar novas mensagens de phishing dirigidas a vítimas de vários países. A própria reputação digital da organização passou, deste modo, a funcionar como elemento de credibilidade para novos ataques.
O foco da operação incidiu sobre organizações ligadas a tecnologias militares, incluindo áreas como sensores de vigilância, drones e robótica. A conjugação entre engenharia social dirigida, exploração de uma vulnerabilidade até então desconhecida, ferramentas executadas em memória e utilização de infraestruturas legítimas cria um problema particularmente complexo para organizações que detêm investigação, propriedade intelectual ou informação estratégica.
A principal dificuldade desta campanha está precisamente no facto de vários elementos tradicionalmente associados à confiança — recrutadores, marcas, sites, serviços cloud e organizações legítimas — poderem ser reutilizados como parte de uma operação maliciosa. Neste contexto, a investigação aponta para a necessidade de não depender apenas da aparência de legitimidade de um contacto ou de um endereço, mas de combinar a atualização rápida dos sistemas, a validação da origem do software e políticas de acesso que não atribuam confiança automática a utilizadores, dispositivos ou serviços apenas pela sua identidade aparente.
