DOSAR/ 26
DOSAR PUBLIC · CYBERESPIONAJ · 13 AUGUST 2026Stare: actual la această dată

Un semnal autentic nu spune cine controlează mesajul care îl poartă.

Totul părea legitim

Într-o nouă rundă Operation Dream Job, atacatorii au legat numele unui angajator, un program semnat, OneDrive, un zero-day Windows și resurse compromise într-un singur traseu. Fiecare element părea familiar. Împreună, au dus victima de la o conversație de recrutare la infrastructura următorului atac.

Alege un semnal. Vezi ce era real și cum a fost folosit.

"Real" descrie un lucru. "Sigur" descrie relația lui cu restul lanțului.
CVE 2026-68820 zero-day Windows, patchuit pe 11 august
17 identificatori asociați cu servere probabil compromise
FR · DE exemple țintiri reușite raportate de Check Point
11 aug. 2026 patch Microsoft și listare CISA KEV
Alege un semnal. Vezi ce era real și cum a fost folosit.REAL ≠ SAFE

Statutul dovezilor

Exploatare CONFIRMATĂ

Microsoft a publicat patchul, iar CISA a listat vulnerabilitatea ca exploatată activ.

Atribuire DPRK EVALUARE

Atribuirea aparține analizei Check Point.

Victimă franceză OBSERVATĂ

Organizația nu este numită public.

Informații exfiltrate NECUNOSCUT

Cercetarea nu spune ce informații au fost exfiltrate.

Semnalul nou

Încrederea a devenit reutilizabilă

Ofertele false de angajare asociate cu Lazarus au apărut și în campanii anterioare. În această rundă, recrutarea s-a legat de software autentic, rezultate de căutare, OneDrive, un zero-day din kernel, servere web compromise și o organizație folosită pentru mesajele următoare.

Check Point spune că a observat țintiri reușite în Europa de Vest, inclusiv în Franța și Germania; campania a avut ținte și în alte regiuni. Un domeniu familiar, o semnătură validă sau un serviciu cloud cunoscut descriu obiectul respectiv. Pentru apărare, contează și cine l-a introdus în mesaj și ce legături are cu restul traseului.

"Real" descrie un lucru. "Sigur" descrie relația lui cu restul lanțului.

01 · Ce s-a întâmplat

Oferta a devenit acces, apoi infrastructură

Check Point descrie campania în patru momente. Ordinea de mai jos urmărește acea reconstrucție; sursa nu publică lista completă a victimelor sau impactul fiecăreia.

01IMPERSONAT

Momeala a părut profesională

Un recrutor și numele unui angajator familiar au deschis conversația.

Check Point
02REAL

Programul a părut legitim

Un program PDF semnat și OneDrive au făcut instalarea și comunicațiile să pară obișnuite.

Check Point
03MALICIOS

Zero-day-ul a ridicat privilegiile

CVE-2026-68820 din Windows AFD.sys a permis escaladarea privilegiilor până la SYSTEM.

CISA
04COMPROMISĂ

Organizația compromisă a fost refolosită

Servere web compromise au purtat traficul, iar organizația din Franța a fost folosită ca expeditor pentru mesajele următoare.

Check Point

02 · Semnalele

Semnale reale au făcut mesajul malițios plauzibil

Fiecare rând arată un semnal folosit în campanie. Deschide-l pentru a vedea ce confirmă și ce lasă neverificat.

Semnalele din campanie
Statut
01 IMPERSONAT

Numele angajatorului

Un anunț realist a folosit numele Lockheed Martin.
Cum a fost folosit

Numele era familiar. Cercetarea publicată nu indică implicarea companiei în campanie. Deschide sursa: Check Point Research

02 IMPERSONAT

Oferta și recrutorul

Abordarea a venit ca o oportunitate profesională plauzibilă.
Cum a fost folosit

Un atacator poate folosi numele unei companii și profilul unui recrutor într-o conversație despre muncă sau tehnologie. Deschide sursa: Check Point Research

03 REAL

PDF viewer semnat digital

Un program semnat a făcut instalarea să pară obișnuită.
Cum a fost folosit

Semnătura confirmă originea fișierului. Intenția aparține persoanei care îl trimite. Deschide sursa: Check Point Research

04 IMPERSONAT

Site găsit în căutare

Pagini care imitau Enveil au apărut printre primele rezultate relevante.
Cum a fost folosit

Poziția în rezultate a făcut paginile să pară mai credibile. Deschide sursa: Check Point Research

05 REAL

Microsoft OneDrive

OneDrive a apărut în comunicațiile malware-ului.
Cum a fost folosit

Un serviciu real poate transporta trafic malițios. Deschide sursa: Check Point Research

06 REAL

Windows AFD.sys

Vulnerabilitatea CVE-2026-68820 a deschis drumul către SYSTEM.
Cum a fost folosit

Microsoft a patch-uit vulnerabilitatea pe 11 august 2026. CISA a catalogat-o ca exploatată activ. Deschide sursa: CISA · Known Exploited Vulnerabilities

07 COMPROMISĂ

Organizație europeană

O organizație cu sediul în Franța a fost folosită ulterior ca expeditor.
Cum a fost folosit

Numele organizației nu este publicat. Atacatorii i-au folosit reputația pentru a da credibilitate mesajelor următoare. Deschide sursa: Check Point Research

08 COMPROMIS

Server web obișnuit

Servere care găzduiau Roundcube și CMS au fost folosite ca relee.
Cum a fost folosit

Check Point a identificat cel puțin 17 identificatori asociați cu servere probabil compromise. Deschide sursa: Check Point Research

09 MALICIOS

Troy, FudModule, RelayShell

Componentele au oferit acces, au ascuns activitatea și au retransmis traficul.
Cum a fost folosit

Cercetarea descrie Troy, FudModule v3.1 și RelayShell ca părți ale atacului. Deschide sursa: Check Point Research

REAL

este autentic, dar poate fi folosit într-un lanț malițios

IMPERSONAT

o identitate, o pagină sau un context imită un semnal familiar

COMPROMIS

o resursă legitimă a fost preluată și folosită de altcineva

MALICIOS

componenta sau acțiunea face parte din atac

03 · Escaladarea privilegiilor

De la oferta de muncă la privilegiile SYSTEM

Cronologia leagă mesajul de recrutare de vulnerabilitatea care a permis accesul SYSTEM și de patchul publicat ulterior.

CISA listează CVE-2026-68820 ca exploatată activ, iar Microsoft a publicat patchul pe 11 august. Atribuirea către Lazarus / DPRK vine din analiza Check Point.

Check Point raportează vulnerabilitatea

Cercetătorii trimit vulnerabilitatea către Microsoft.

CHECKPOINT

Microsoft confirmă vulnerabilitatea

Microsoft începe coordonarea remedierii.

MICROSOFT

CVE-2026-68820 este atribuit

Vulnerabilitatea primește identificatorul public.

MICROSOFT

Patch și catalog KEV

Microsoft publică remedierea, iar CISA o include în Known Exploited Vulnerabilities.

CISA

Relatare independentă

The Record tratează separat exploatarea confirmată și atribuirea Check Point.

RECORD

04 · Reutilizarea victimei

Serverele și reputația organizației au fost refolosite

Check Point descrie două folosiri ale victimei. Servere web compromise au purtat comunicațiile implantului, iar organizația din Franța a fost folosită ca expeditor pentru spear-phishing. Alege una dintre cele două ramuri.

Alege ce vrei să urmărești

Traficul trece printr-un server legitim compromis și arată ca trafic HTTPS obișnuit.

COMPROMISĂ

Organizație legitimă

compromisă în Franța

infrastructură
COMPROMISĂ

Server web compromis

Roundcube / CMS + RelayShell

MALICIOS

Comunicații cu implantul

folosesc un server compromis ca releu

reputație
IMPERSONAT

Organizația folosită ca expeditor

mesajul pare să vină de la ea

MALICIOS

Organizații țintă

mesaje spear-phishing către alte organizații

Citește reconstrucția · Check Point Research

05 · Ce știm

Fapte confirmate, evaluare și necunoscut

Secțiunea separă faptele documentate, atribuirea Check Point, inferența despre continuitatea tehnică și informațiile pe care cercetarea nu le publică.

EVALUARE DE ACTOR

Check Point atribuie această rundă actorilor Lazarus / DPRK. Microsoft și CISA documentează vulnerabilitatea și exploatarea; atribuirea vine din analiza Check Point.

Deschide sursa: Check Point Research
INFERENȚĂ

Folosirea unei vulnerabilități anterioare în același driver AFD.sys poate indica o urmărire îndelungată a aceleiași suprafețe de atac. Este o inferență editorială; sursa nu spune cine a descoperit fiecare vulnerabilitate.

Deschide sursa: Check Point Research
NECUNOSCUT

Cercetarea nu spune ce informații de apărare au fost exfiltrate din fiecare victimă, cine le-a folosit sau dacă operațiunea a modificat vreun program de armament.

Deschide sursa: Check Point Research

Întrebarea pentru România

Aceleași categorii tehnologice există și în România

Materialul public nu dezvăluie o victimă română. Analiza Check Point enumeră apărarea, dronele, senzorii de supraveghere, robotica și industria aerospațială printre domeniile urmărite. Furnizorii români din aceste domenii sunt o ipoteză de verificat, nu o victimă raportată.

Vezi categoriile de ținte în analiza Check Point
INFERENȚĂ · NU ESTE DEZVĂLUITĂ O VICTIMĂ ROMÂNĂ

Ce verifici data viitoare

Verifică cine controlează mesajul

Când un mesaj pare legitim, întreabă:

  1. Cine controlează canalul prin care am primit cererea?
  2. Ce ai verificat independent: expeditorul, canalul sau cererea?
  3. Ce se schimbă dacă expeditorul însuși a fost compromis?

În această campanie, organizația compromisă a fost folosită pentru traficul și mesajele următoare.

Surse și limite

Sursele separă exploatarea de atribuire

Check Point descrie campania și infrastructura folosită. Microsoft publică patchul, iar CISA confirmă listarea ca vulnerabilitate exploatată activ. The Record tratează separat exploatarea și atribuirea făcută de Check Point.

01SURSĂ PRIMARĂ

Check Point Research

Reconstrucția campaniei, a malware-ului, a serverelor relay și a folosirii ulterioare a organizației din Franța.

Deschide sursa
02CONFIRMARE INDEPENDENTĂ

CISA · Known Exploited Vulnerabilities

Listarea CVE-2026-68820 ca vulnerabilitate exploatată activ.

Deschide sursa
03REGISTRU OFICIAL

Microsoft Security Update Guide

Fișa oficială a vulnerabilității și patchul publicat de Microsoft.

Deschide sursa
04REPORTAJ SECUNDAR

The Record from Recorded Future News

Relatarea separă exploatarea și patchul de atribuirea DPRK formulată de Check Point.

Deschide sursa

Valabil la 13 august 2026

Revizuiește pagina dacă sursele primare schimbă descrierea exploatării, statutul CVE-2026-68820, atribuirea sau informațiile publice despre impactul asupra victimelor.