# Lazarus explotó un zero-day de Windows en campaña contra el sector defensa

Check Point documentó el uso de CVE-2026-68820 en Operation Dream Job antes de que Microsoft lo parcheara el 11 de agosto — Brasil figura entre los objetivos confirmados.

Check Point Research identificó una nueva ola de Operation Dream Job, la campaña de largo plazo del grupo norcoreano Lazarus que utiliza ofertas laborales falsas para comprometer profesionales del sector defensa y aeroespacial. Esta iteración incorporó una vulnerabilidad de Windows previamente desconocida — CVE-2026-68820, un fallo de escalada de privilegios en AFD.sys, el driver de kernel que sustenta Windows Sockets — que Microsoft parcheó el 11 de agosto como parte de Patch Tuesday. Check Point reportó la vulnerabilidad el 28 de julio; Microsoft la confirmó tres días después y distribuyó el fix dos semanas más tarde. La campaña desplegó un nuevo backdoor llamado Troy y documentó objetivos confirmados en Francia, Alemania, Brasil e India.

Dos cadenas de infección con un mismo objetivo final

La operación corre por dos vectores paralelos. En el primero, las víctimas descargan un archivo cifrado que contiene un visor de PDF legítimo firmado y una DLL maliciosa. La DLL muestra una descripción de puesto de Lockheed Martin mientras carga en segundo plano MISTPEN, un downloader que se comunica a través de Microsoft Graph API y OneDrive. MISTPEN ejecuta módulos de reconocimiento, dispara el exploit de AFD.sys para obtener privilegios SYSTEM y despliega ForestTiger — un backdoor ya documentado de Lazarus — junto con FudModule 3.1, una versión actualizada del rootkit en modo kernel del grupo que ahora puede manipular Windows Smart App Control para eludir la verificación de software.

La segunda cadena es más reciente y comparte características con una campaña que ESET describió en 2025 contra el sector de vehículos aéreos no tripulados. Las víctimas reciben instrucciones para descargar SecurityPDF, un visor de PDF troyanizado, desde sitios web que suplantan a Enveil, una compañía legítima de tecnología de privacidad sin conexión real con el ataque. Una vez instalado, el visor modificado inspecciona cualquier PDF abierto en busca de un marcador oculto; cuando lo encuentra, descifra y lanza un payload embebido que carga el backdoor Troy directamente en memoria.

Troy: 17 comandos en un solo DLL

Troy es un implante de una sola DLL que soporta 17 comandos de operador: operaciones de archivos, acceso a shell, terminación de procesos, inyección de DLL en memoria y actualización de configuración. Su nombre proviene de una ruta PDB embebida en el binario que Check Point ya había observado en muestras anteriores de Lazarus. El backdoor funciona completamente en memoria, lo que reduce su huella en disco y complica la detección por parte de soluciones EDR tradicionales.

Infraestructura C2 construida sobre servidores comprometidos

Los atacantes no operan servidores propios: la infraestructura de comando y control se construyó sobre instalaciones comprometidas de Roundcube y sitios WordPress, muchos de ellos vulnerables a CVE-2025-49113. Check Point identificó un webshell PHP previamente no documentado llamado RelayShell que funciona como relay de comandos en lugar de backdoor tradicional, intercambiando instrucciones y respuestas a través de archivos de texto simples. Se confirmaron al menos 17 identificadores únicos de servidor en esta red de relay, con operadores conectándose a través de VPN comerciales para ocultar su ubicación.

En al menos un caso confirmado, una organización francesa ya comprometida fue utilizada para enviar mensajes de phishing a nuevas víctimas — los atacantes tomaron prestada la reputación de la compañía para eludir filtros de correo. Esta táctica de usar infraestructura legítima comprometida en lugar de dominios propios hace que el tráfico malicioso sea más difícil de distinguir de la actividad normal.

Brasil en la lista de objetivos y el patrón regional de exposición

Brasil aparece entre los cuatro países con objetivos confirmados, junto con Francia, Alemania e India. La presencia de Brasil en esta lista no es casual: el país concentra operaciones de defensa, aeroespacial y tecnología crítica que históricamente han sido objetivo de campañas de espionaje patrocinadas por estados. La dependencia de infraestructura Windows en entornos corporativos brasileños — combinada con la adopción de servicios cloud de Microsoft para comunicaciones internas — amplifica la superficie de exposición a este tipo de ataques que combinan ingeniería social con explotación técnica de vulnerabilidades de día cero.

El uso de servidores comprometidos como relay también tiene implicancias para la región: organizaciones latinoamericanas con instalaciones públicas de Roundcube o CMS desactualizados pueden terminar formando parte de la infraestructura de ataque sin ser el objetivo directo. Los servidores utilizados en esta campaña fueron comprometidos a través de credenciales filtradas y vulnerabilidades conocidas sin parchear — no mediante técnicas exóticas — lo que sugiere que el riesgo de convertirse en relay involuntario es estructural para cualquier organización con higiene de parches deficiente.

Nuestro análisis

Esta iteración de Operation Dream Job marca un salto cualitativo en tres dimensiones simultáneas: la explotación de un zero-day de Windows antes de su divulgación pública, el despliegue de un backdoor modular nuevo (Troy) con capacidades de ejecución en memoria, y la construcción de infraestructura C2 enteramente sobre servidores legítimos comprometidos. La combinación de estos tres elementos — técnico, operacional y de infraestructura — reduce la visibilidad del ataque en cada capa: el zero-day elude controles de sistema operativo, Troy minimiza artefactos en disco, y el tráfico a través de servidores comprometidos se confunde con comunicaciones normales.

El patrón de usar organizaciones ya comprometidas para enviar phishing a nuevas víctimas — documentado en el caso francés — replica una táctica que Lazarus ya había empleado en campañas anteriores contra el sector financiero. La diferencia aquí es la escala de la red de relay: 17 identificadores únicos de servidor sugieren una operación distribuida geográficamente con redundancia incorporada. La pregunta que queda abierta es cuántos de esos servidores relay están en América Latina sin que sus operadores lo sepan, y cuánto tiempo más seguirán activos antes de que alguien note el tráfico anómalo saliendo hacia infraestructura controlada por Lazarus.