Vous avez reçu une offre d'emploi sur LinkedIn ? Il se peut que l'on tente de pirater votre ordinateur

Les chercheurs de Check Point ont révélé une nouvelle vague de cyberattaques attribuée au groupe de hackers Lazarus, associé à la Corée du Nord. Selon Check Point, la campagne, Operation Dream Job, utilise de fausses offres d'emploi pour inciter les employés d'organisations de défense, d'aviation et aérospatiales à ouvrir des fichiers ou à installer des logiciels malveillants.

« Ce qui rend cette campagne particulièrement dangereuse, ce n'est pas seulement l'utilisation d'une vulnérabilité Zero Day, mais aussi la manière dont Lazarus a intégré une infrastructure légitime et fiable à presque chaque étape de l'attaque », déclare Sergey Shukevich, directeur au sein du département de recherche de Check Point. Les attaquants se cachaient à la vue de tous, derrière des résultats de recherche bien classés, l'image de marque d'entreprises réelles et la réputation d'organisations qu'ils avaient déjà réussi à pirater.

L'attaque commence généralement par une approche qui ressemble à un message d'un véritable recruteur, parfois via LinkedIn ou des applications de messagerie. La victime reçoit une offre d'emploi dans une entreprise connue et une description de poste qui semble légitime, mais derrière le fichier se cache un logiciel qui permet aux attaquants de pénétrer dans l'ordinateur. Les chercheurs ont identifié des activités contre des organisations de défense, d'aviation et aérospatiales.

Selon l'étude, dans l'une des méthodes d'opération, un fichier était envoyé à la victime incluant un programme PDF légitime et signé numériquement, mais avec des composants malveillants à ses côtés. Lorsque l'utilisateur ouvre le programme, il voit une description de poste qui semble réelle, et simultanément, un logiciel malveillant est activé sur l'ordinateur. Dans l'un des exemples révélés, le document se faisait passer pour une description de poste de la société Lockheed Martin.

Dans un autre parcours, les victimes étaient dirigées vers le téléchargement d'un programme PDF appelé SecurityPDF depuis des sites se faisant passer pour la société technologique américaine Enveil, qui, selon Check Point, n'a aucun lien avec l'attaque. Le logiciel ressemblait à un programme de visualisation de documents ordinaire, mais en pratique, il a été modifié par les attaquants et était capable d'exécuter du code malveillant à partir de documents PDF spécialement préparés pour l'attaque. Dès que le logiciel malveillant est activé, il commence à collecter des informations sur l'ordinateur et à préparer le terrain pour les étapes suivantes.

Au cours de la recherche, les chercheurs de Check Point ont découvert que les attaquants ont également exploité une vulnérabilité auparavant inconnue dans Windows, qui a reçu la désignation CVE-2026-68820. Il s'agit d'une vulnérabilité d'élévation de privilèges : elle ne permet pas à un attaquant d'entrer dans l'ordinateur en premier lieu, mais après avoir déjà réussi à y exécuter un logiciel malveillant, elle lui permet de passer d'un accès limité aux privilèges les plus élevés du système. En termes simples, après que la victime a activé le fichier malveillant, la vulnérabilité a permis aux attaquants d'obtenir un contrôle à un niveau généralement réservé au système d'exploitation lui-même.

Chez Check Point, ils disent qu'ils pensaient initialement qu'il s'agissait d'une version d'une vulnérabilité précédente qui avait déjà été corrigée par Microsoft, mais des tests sur un ordinateur Windows 11 entièrement mis à jour ont montré que l'attaque réussissait toujours — et ont clarifié qu'il s'agissait d'une nouvelle vulnérabilité. Selon l'entreprise, elle a signalé la vulnérabilité à Microsoft le 28 juillet 2026 ; Microsoft a confirmé la découverte trois jours plus tard, a attribué à la vulnérabilité le numéro CVE-2026-68820 le 5 août, et le 11 août a publié un correctif dans le cadre des mises à jour Patch Tuesday.

Parallèlement à la vulnérabilité Windows, les chercheurs ont également révélé dans la campagne un nouveau logiciel malveillant qui n'avait pas été documenté auparavant, qui a reçu le nom de Troy. Il s'agit d'une porte dérobée (backdoor) qui permet aux opérateurs de l'attaque de contrôler à distance l'ordinateur piraté et d'effectuer une variété d'actions. Les chercheurs ont identifié 17 commandes différentes, notamment la recherche de fichiers, leur téléchargement et leur envoi, la création d'archives dans le but d'extraire des informations de l'ordinateur, l'exécution de commandes, la terminaison de processus et l'exécution de code supplémentaire directement depuis la mémoire.

L'une des conclusions inhabituelles de la recherche concerne l'infrastructure que les attaquants utilisent pour contrôler les ordinateurs piratés. Au lieu de mettre en place leurs propres serveurs, Lazarus a utilisé dans une large mesure l'infrastructure d'autres organisations : des sites web légitimes, des serveurs Webmail et des systèmes CMS qui ont été piratés et transformés en stations relais pour transférer des commandes entre les attaquants et les victimes. Certains serveurs ont été piratés en utilisant des vulnérabilités de sécurité connues qui n'avaient pas été corrigées, et dans d'autres cas, ils ont utilisé des identifiants d'accès qui avaient déjà fuité sur le dark web.

Les chercheurs ont identifié au moins 17 serveurs différents qui ont été utilisés dans le cadre de ce réseau de relais. Dans au moins un cas, les attaquants ont utilisé une organisation qui avait déjà été piratée pour envoyer des messages de phishing à d'autres victimes, tout en exploitant son nom et sa réputation pour rendre l'approche plus fiable. Ainsi, un serveur Webmail ou un site d'entreprise qui n'a pas été mis à jour, associé à un mot de passe ou à des identifiants d'accès ayant déjà fuité, peut transformer une organisation, à son insu, en une partie de l'infrastructure d'attaque — et à partir de là, être utilisé pour attaquer d'autres organisations.

Lazarus est l'un des groupes d'attaque les plus identifiés à la Corée du Nord, et opère depuis des années contre des gouvernements, des entreprises et des organismes dans les domaines de la défense, de la technologie et de la finance. Selon Check Point, le groupe est connu pour ses campagnes prolongées d'espionnage et de vol de données, parallèlement à des attaques dont le but est également le profit financier. L'une des méthodes identifiées avec lui est de se faire passer pour des recruteurs et d'envoyer de fausses offres d'emploi à des employés dans des secteurs sensibles — la technique qui est également au centre de l'Operation Dream Job.

« Lorsque le site, le fichier à télécharger et même le recruteur semblent tous fiables, le vieux conseil de « chercher le lien de phishing suspect » ne suffit plus », a déclaré Shukevich. La signification aujourd'hui est qu'il faut prendre en compte que même la confiance peut être falsifiée : installer les mises à jour de sécurité immédiatement après leur publication, télécharger et vérifier les logiciels via les canaux officiels et ne pas se fier à leur classement dans les résultats de recherche, et appliquer un concept de Zero Trust même aux sites et partenaires qui semblent légitimes et avec lesquels nous communiquons chaque jour.

Chez Check Point, ils recommandent aux organisations de mettre à jour Windows suite à la vulnérabilité découverte, de vérifier les systèmes exposés à Internet, de s'assurer qu'ils sont mis à jour, de surveiller les identifiants d'accès d'entreprise ayant fuité et d'examiner les anomalies dans le trafic même lorsqu'il provient d'une infrastructure qui semble légitime.