Lazarus targets employees of a nuclear-related organization with a bunch of malware, such as MISTPEN, LPEClient, RollMid, CookieTime and a new modular backdoor CookiePlus.

Lazarus targets employees of a nuclear-related organization with a bunch of malware, such as MISTPEN, LPEClient, RollMid, CookieTime and a new modular backdoor CookiePlus.

Check Point Research tracked a long-running Operation Dream Job campaign linked to Lazarus, with a latest wave targeting defense organizations in Europe and India using trojanized PDF viewers, spear-phishing, and compromised web infrastructure. The campaign deployed SecurityPDF, Troy, MISTPEN, RelayShell, and a new FudModule variant exploiting CVE-2026-68820 while also abusing Roundcube servers via CVE-2025-49113. #OperationDreamJob #Lazarus #SecurityPDF #Troy #MISTPEN #RelayShell #FudModule #CVE-2026-68820 #CVE-2025-49113

North Korean hackers use job-themed phishing to deploy the MISTPEN backdoor, targeting global aerospace and energy sectors.

Lazarus targets employees of a nuclear-related organization with a bunch of malware, such as MISTPEN, LPEClient, RollMid, CookieTime and a new modular backdoor CookiePlus.

The Lazarus Group has integrated the ML-KEM (Kyber) algorithm into the command-and-control channel of its MISTPEN infrastructure to deliver the CVE-2026-68820 zero-day exploit against the Windows AFD.sys kernel driver. Documented by Check Point Research on August 11, 2026, the operation targeted def

Lazarus Group is exploiting a recently patched Windows zero-day, CVE-2026-68820, to deliver a new backdoor called Troy against defense and aerospace targets in France, Germany, Brazil, and India through Operation Dream Job. The campaign uses fake recruiter lures, trojanized PDF software, and compromised legitimate sites and servers to spread MISTPEN, ForestTiger,...

North Korean hackers linked to the Lazarus Group are abusing the newly patched Windows zero-day CVE-2026-68820 in fake job application lures to compromise defense, aerospace, and aviation targets. The campaign uses Mistpen, ForestTiger, Troy, SecurityPDF, and RelayShell to gain SYSTEM privileges, persist, and steal data through compromised web infrastructure. #LazarusGroup #CVE-2026-68820...

Lazarus targets employees of a nuclear-related organization with a bunch of malware, such as MISTPEN, LPEClient, RollMid, CookieTime and a new modular backdoor CookiePlus.

North Korean hackers use job-themed phishing to deploy the MISTPEN backdoor, targeting global aerospace and energy sectors.

North Korean hackers use job-themed phishing to deploy the MISTPEN backdoor, targeting global aerospace and energy sectors.

A North Korea-linked cyber-espionage group has been observed leveraging job-themed phishing lures to target prospective victims in energy and aerospace verticals and infect them with a previously undocumented backdoor dubbed MISTPEN. The activity cluster…

北朝鮮と関係のある脅威アクターが、長期にわたるキャンペーン「Operation Dream Job」の一環として、防衛産業に従事する欧州企業を標的とした新たな攻撃の波に関与しているとされています。 「これらの企業の中には無人航空機（UAV）分野に深く関与している企業もあり、この作戦が北朝鮮によるドローンプログラム拡大の取り組みと関連している可能性が示唆されます」と、ESETのセキュリティ研究者Peter Kálnai氏とAlexis Rapin氏は、The Hacker Newsと共有したレポートで述べています。 このキャンペーンの最終的な目的は、ScoringMathTeaやMISTPENといったマルウェアファミリーを用いて、企業の独自情報や製造ノウハウを窃取することだと評価されています。スロバキアのサイバーセキュリティ企業であるESETは、2025年3月下旬からこのキャンペーンを観測していると述べています。 標的となった組織には、東南ヨーロッパの金属工学企業、中央ヨーロッパの航空機部品メーカー、中央ヨーロッパの防衛企業などが含まれています。 ScoringMathTea（別名ForestTiger）は、2023年初頭にESETによって、インドのテクノロジー企業やポーランドの防衛請負業者を標的としたサイバー攻撃との関連で観測されていました。一方、MISTPENは2024年9月にGoogle Mandiantによって、エネルギーや航空宇宙分野の企業を狙った侵入の一部として記録されています。ScoringMathTeaの最初の出現は2022年10月にさかのぼります。 Operation Dream Jobは、2020年にイスラエルのサイバーセキュリティ企業ClearSkyによって初めて明らかにされた、北朝鮮の著名なハッカー集団「Lazarus Group」（APT-Q-1、Black Artemis、Diamond Sleet（旧Zinc）、Hidden Cobra、TEMP.Hermit、UNC2970としても追跡）が展開する持続的な攻撃キャンペーンです。このハッカー集団は少なくとも2009年から活動していると考えられています。 これらの攻撃では、脅威アクターがContagious Interviewに類似したソーシャルエンジニアリング手法を利用し、標的となる人物に高収入の求人を持ちかけ、マルウェアに感染させるよう仕向けます。このキャンペーンはまた、DeathNote、NukeSped、Operation In(ter)ception、Operation North Starとして追跡されているクラスターとも重複が見られます。 「主要な手口は、高収入だが偽の求人とマルウェアの組み合わせです。標的は求人内容が記載されたダミー文書と、それを開くためのトロイの木馬化されたPDFリーダーを受け取ります」とESETの研究者は述べています。 攻撃の連鎖はバイナリの実行につながり、これが悪意のあるDLLをサイドロードしてScoringMathTeaおよびBinMergeLoaderという高度なダウンローダーを展開します。BinMergeLoaderはMISTPENと同様に機能し、Microsoft Graph APIやトークンを使って追加のペイロードを取得します。 別の感染経路では、未知のドロッパーが2つの中間ペイロードを配布し、最初のペイロードが後者をロードすることで、最終的にScoringMathTeaが展開されます。ScoringMathTeaは約40種類のコマンドをサポートし、感染したマシンを完全に制御できる高度なRATです。 「Lazarusはほぼ3年間、一貫した手口を維持しており、好んで使うメインペイロードであるScoringMathTeaを展開し、オープンソースアプリケーションをトロイの木馬化する類似の手法を用いています」とESETは述べています。「この予測可能でありながら効果的な戦略は、グループの身元や帰属を隠しきれないものの、十分な多様性を持たせることでセキュリティ検知を回避しています。」 翻訳元:

North Korean hackers use job-themed phishing to deploy the MISTPEN backdoor, targeting global aerospace and energy sectors.

Lazarus targets employees of a nuclear-related organization with a bunch of malware, such as MISTPEN, LPEClient, RollMid, CookieTime and a new modular backdoor CookiePlus.

North Korean hackers use job-themed phishing to deploy the MISTPEN backdoor, targeting global aerospace and energy sectors.