El grupo norcoreano Lazarus explota un zero-day de Windows, CVE-2026-68820, en la Operation Dream Job contra la industria de defensa.
Check Point Research ha documentado la campaña, que ya tiene objetivos confirmados en Francia, Alemania, Brasil e India. La novedad respecto a oleadas anteriores está en un fallo del kernel de Windows y en un implante nuevo, Troy.
La caza de ingenieros de defensa: dos cadenas de infección paralelas
‘Los atacantes usaron una vulnerabilidad previamente desconocida en Windows (CVE-2026-68820) para obtener el control total de los equipos infectados y evadir la visibilidad del EDR’, recoge el informe. Check Point reportó el fallo a Microsoft el 28 de julio; el parche llegó con el Patch Tuesday del 11 de agosto.
La vulnerabilidad reside en AFD.sys, el driver del kernel de Windows Sockets, y permite elevar privilegios hasta SYSTEM, la cuenta con más control de una máquina. Es la misma falla de día cero que Microsoft ha confirmado como explotada de forma activa; el boletín oficial puede consultarse en la guía de actualización de Microsoft.
La primera cadena arranca con un archivo cifrado que contiene un visor de PDF firmado y una DLL maliciosa. La DLL muestra una descripción de empleo convincente de Lockheed Martin mientras carga MISTPEN, un descargador ligero que habla con la Graph API de Microsoft y con OneDrive.
El cebo es una oferta de trabajo de Lockheed Martin; el anzuelo, un fallo del kernel de Windows que entrega el equipo a Pyongyang.
MISTPEN lanza los módulos de reconocimiento, ejecuta el exploit de AFD.sys y despliega ForestTiger y el rootkit FudModule 3.1. FudModule puede alterar Smart App Control para saltarse la verificación de software, algo que reduce la capacidad de Microsoft de bloquear binarios maliciosos.
Troy no es uno más en el arsenal de Lazarus: es un implante modular y ligero, pensado para operar en memoria sin tocar el disco.
La segunda cadena golpea al sector UAV. Las víctimas reciben instrucciones para descargar SecurityPDF, un visor de PDF troyanizado, desde sitios que suplantan a Enveil, una empresa legítima de privacidad sin relación con el ataque.
El visor alterado examina cada PDF abierto en busca de un marcador oculto. Si aparece, descifra e inyecta un payload que carga el backdoor Troy directamente en memoria.
El arsenal y la infraestructura de mando: Troy, MISTPEN y FudModule
Troy es un implante en formato DLL con 17 comandos de operación en un solo implante DLL. Cubre manipulación de archivos, acceso a shell, terminación de procesos, inyección de DLL en memoria, y actualización de configuración. Su nombre procede de la ruta PDB embebida en el binario, ya observada en muestras anteriores de Lazarus.
La infraestructura de mando y control no utiliza servidores propios. Los atacantes secuestran instalaciones legítimas de Roundcube y WordPress, muchas vulnerables a CVE-2025-49113, e instalan un webshell PHP no documentado, RelayShell. La clave ya no es el servidor propio.
RelayShell actúa como relay, no como backdoor tradicional: intercambia comandos y respuestas mediante archivos de texto simples. En al menos un caso, una organización francesa ya comprometida sirvió para enviar phishing a nuevas víctimas; la reputación corporativa se usó para superar filtros.
El grupo de operadores se conectan a través de VPN comerciales para difuminar su ubicación. Check Point ha identificado al menos 17 identificadores de servidor únicos en la red de relay.
La conclusión de Check Point es directa: ‘dada la combinación de una vulnerabilidad de día cero que ya tiene parche, un nuevo backdoor modular y una infraestructura basada en web diseñada para parecer tráfico legítimo, los equipos de seguridad de estos sectores deberían priorizar la actualización de agosto y revisar los indicadores de compromiso publicados’. Las organizaciones con Roundcube o CMS públicos enfrentan un riesgo añadido: convertirse en eslabón del relay.
La atribución a Pyongyang no es nueva: Lazarus es el brazo cibernético norcoreano detrás de operaciones como el ataque a Sony Pictures en 2014 o el robo al Banco Central de Bangladesh en 2016. La Operation Dream Job lleva años apuntando al capital humano de la defensa con ofertas falsas de contratistas como Boeing, BAE o ahora Lockheed Martin; más contexto en la entrada de Lazarus Group en Wikipedia.
Lo veo como una escalada de sofisticación, no como una simple repetición. El robo de servidores legítimos en lugar de infraestructura propia y el rootkit que desactiva Smart App Control indican un adversario que estudia los controles defensivos y construye rutas alternativas para no ser expulsado.
Le pongo en contexto: CVE-2026-68820 no es un fallo remoto, el fallo necesita interacción de la víctima, no se propaga solo. No hay ejecución sin descarga. Por eso el cebo profesional sigue siendo central: no se rompe el sistema, se persuade al ingeniero para que lo haga él mismo.
En España, el sector de defensa ha sido objetivo recurrente del espionaje norcoreano contra la industria aeroespacial europea. No hay confirmación de objetivos españoles en esta campaña, pero el CNI y el CCN-CERT monitorizan de forma permanente los señuelos de reclutamiento falsos que llegan a empresas del sector.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque de espionaje con explotación de un zero-day de kernel y despliegue de implantes modulares. El objetivo no es destruir, sino persistir, robar credenciales y acceder a conocimiento táctico de proyectos de defensa.
El servicio atacante es Lazarus Group, atribuido a Corea del Norte. La defensa corresponde a las propias víctimas y a los fabricantes como Microsoft, que ya ha parcheado el fallo. Quien observa de cerca es el CNI: los sectores aeroespacial y de UAV son estratégicos para la seguridad nacional, y las empresas españolas no son inmunes a las ofertas falsas de Lockheed Martin.
El nivel de clasificación estimado del material comprometido, a juzgar por los perfiles objetivo, se situaría entre confidencial y secreto, dependiendo del alcance de los proyectos afectados.
Precedente histórico: la Operation Dream Job no es nueva. Reportada desde al menos 2019, ha evolucionado de simples documentos infectados a exploits de kernel y rootkits capaces de desactivar defensas. La lección de esta campaña es que el adversario no construye infraestructura: la roba y la reutiliza.
La atribución tiene margen técnico sólido. Check Point encontró rutas PDB previas de Lazarus en Troy, y el uso de FudModule y ForestTiger coincide con el arsenal del grupo. Aun así, conviene mantener la cautela: la atribución en ciberespionaje norcoreano nunca es un veredicto de un día, sino una acumulación de evidencias que se publica en cuentagotas.
