Durante varias semanas, el supuesto reclutador contestó con normalidad y sostuvo la apariencia de un proceso auténtico. Sus objetivos eran ingenieros de compañías europeas de defensa y aeroespacio. El paquete final incluía una oferta de empleo y un programa para abrirla; al ejecutarlo, la víctima activaba un descargador residente en memoria, una puerta trasera y un rootkit, es decir, software concebido para ocultarse y esconder otros componentes maliciosos. El implante alcanzaba el núcleo de Windows gracias a un zero-day que aún no tenía corrección.
Check Point Research bautizó la operación como Shattering the Dream y la sitúa como la evolución más reciente de Operation Dream Job, la campaña de falsos empleos que Lazarus, vinculado a Corea del Norte, lleva años utilizando. La actividad comenzó a principios de 2026 y dejó intrusiones confirmadas en Francia y Alemania. Microsoft solucionó la vulnerabilidad CVE-2026-68820 en el Patch Tuesday del 11 de agosto de 2026.
Del falso proceso de selección al núcleo de Windows
El anzuelo: una contratación cuidadosamente simulada
El primer acercamiento reproduce los detalles de una selección de personal legítima. De acuerdo con Check Point Research, los operadores se hicieron pasar por Enveil, una firma estadounidense de tecnología de privacidad que no participó en el ataque y solo sufrió la suplantación de su identidad. En otros casos reutilizaron una oferta de Lockheed Martin. Es un ejemplo típico de spear phishing dirigido a profesionales concretos con acceso a diseños, programas militares o sistemas industriales.
La elección de las víctimas no fue casual. Defensa, aeroespacio, aviación, drones, robótica y tecnología militar reúnen propiedad intelectual de alto interés para el espionaje estatal. Además, sus ingenieros reciben propuestas laborales con cierta frecuencia, de modo que una oferta bien preparada puede parecer perfectamente normal.
El contexto de una contratación aporta una ventaja difícil de lograr con otros pretextos de ingeniería social: permite intercambiar archivos y aplicaciones durante varios días mientras un interlocutor atento responde mensajes y mantiene la historia creíble.
La defensa más sencilla consiste en comprobar la oferta por una vía distinta. Si alguien afirma representar a una empresa, conviene confirmar su identidad mediante los canales oficiales de esa organización y no mediante los datos facilitados por el propio reclutador. En los incidentes analizados, esa verificación probablemente habría revelado el fraude.
Dos rutas de infección bajo el mismo engaño
La investigación identifica dos cadenas activas en paralelo. La primera, que incorpora el zero-day, comienza con un archivo cifrado que contiene un lector de PDF legítimo y firmado, una DLL maliciosa llamada libmupdf.dll y una carga cifrada disfrazada con extensión .pdf. Al iniciar el visor, Windows carga la DLL siguiendo un orden previsto por el atacante, una técnica de DLL sideloading. Mientras aparece un documento señuelo, el código extrae el implante y lo ejecuta directamente en memoria.
La eficacia del mecanismo reside en separar las pruebas. El visor firmado supera los controles de reputación, la actividad dañina queda en la DLL colocada a su lado y la carga final permanece cifrada. Analizado de forma aislada, ninguno de los elementos ofrece una imagen completa del ataque.
La segunda ruta no necesita el zero-day. Utiliza SecurityPDF, un visor troyanizado distribuido desde páginas que imitaban a Enveil y aparecían en posiciones destacadas de los buscadores. Su misión era instalar una nueva puerta trasera denominada Troy. La marca y la historia laboral eran las mismas, aunque la carga final cambiaba.
MISTPEN oculta el control dentro de Microsoft Graph
En la cadena principal, la DLL ejecuta MISTPEN completamente en memoria. Este descargador reconoce el sistema, establece persistencia y obtiene módulos adicionales. El punto más complicado de bloquear es su canal de mando y control, que utiliza Microsoft Graph y archivos controlados por el atacante en OneDrive.
Desde la perspectiva del cortafuegos, las conexiones se dirigen a servicios legítimos de Microsoft empleados cada día por millones de organizaciones. No aparece una infraestructura sospechosa que pueda bloquearse por dominio o reputación: el adversario se mezcla con la misma nube de Microsoft 365 que utiliza la empresa atacada.
MISTPEN termina desplegando ForestTiger, una puerta trasera que ya había sido atribuida ampliamente a Lazarus. Según Check Point Research, la presencia de esta familia conocida aporta otro indicio a favor de la atribución de la campaña.
La consecuencia para los equipos defensivos es clara: sin observar las conexiones salientes hacia la nube, investigar esta actividad resulta casi imposible. Como mínimo, hay que relacionar cada acceso a Microsoft Graph con el proceso, el equipo y la identidad que lo originaron.
El salto del usuario al núcleo mediante un zero-day
El elemento que distingue esta operación de un caso convencional de espionaje por correo es la escalada hasta el núcleo. CVE-2026-68820 es una vulnerabilidad use-after-free en afd.sys, el controlador de Windows que presta soporte a las operaciones de red de Winsock. El error permite a un atacante que ya ejecuta código en el dispositivo elevar privilegios hasta SYSTEM y tiene una puntuación CVSS de 7,0.
No se trata de una vulnerabilidad explotable directamente desde Internet. Primero es necesario ejecutar código de forma local. En esta campaña, esa condición se cumplía cuando la víctima abría la supuesta descripción del puesto mediante el visor suministrado por el atacante.
Una vez obtenido SYSTEM, los operadores instalaban FudModule 3.1, una nueva variante del rootkit en modo núcleo conocido desde 2022. A grandes rasgos, altera estructuras internas de Windows para reducir la visibilidad de las herramientas de seguridad: el equipo parece seguir funcionando mientras la protección deja de registrar la actividad decisiva.
La respuesta fue especialmente rápida. Check Point notificó el problema a Microsoft a finales de julio de 2026 y la actualización llegó el 11 de agosto, dentro del Patch Tuesday. Para una vulnerabilidad de núcleo usada por un actor estatal, el intervalo entre el aviso y el parche fue breve.
Lazarus ya había recurrido antes al mismo controlador. The Hacker News y BleepingComputer recuerdan que en 2024 el grupo explotó CVE-2024-38193, otro zero-day de afd.sys, para desplegar FudModule. La atención repetida sobre este componente apunta a una capacidad sostenida de investigación de vulnerabilidades.
Cómo consigue esquivar los controles habituales
Cada fase está pensada para desactivar una defensa concreta. El cifrado y la fragmentación dificultan el análisis estático; la ejecución en memoria reduce las evidencias en disco; y el tráfico de control por Graph se confunde con el uso ordinario de Microsoft 365. Los entornos automáticos de análisis también parten con desventaja, porque tendrían que reunir ambos archivos, introducir la contraseña y abrir el documento con el visor incluido, una secuencia que rara vez reproducen por completo.
En el tramo final, el malware intenta neutralizar al propio observador. Cuando FudModule opera en el núcleo, el EDR puede continuar enviando señales aparentemente normales y, al mismo tiempo, quedar ciego ante los eventos relevantes. Es un problema comparable al descrito en los puntos ciegos del EDR en dispositivos de red: el sensor no está en el lugar del ataque o, aunque esté, ya no puede verlo.
Las vulnerabilidades profundas de elevación de privilegios tampoco son exclusivas del espionaje estatal. Episodios como RoguePlanet en el motor de Microsoft Defender demuestran que distintas clases de adversarios pueden recorrer el camino desde una sesión de usuario hasta el núcleo.
Detección basada en conducta, no solo en firmas
Al comienzo de la intrusión, la mejor pista es una conducta fuera de contexto. Un lector de documentos que lanza procesos hijo, escribe en carpetas del perfil o inicia conexiones externas merece revisión inmediata; si además resuelve graph.microsoft.com, la señal es todavía más clara.
Relacionar la identidad del proceso con el destino de red ofrece una vía práctica de investigación. En un entorno bien administrado, son poco frecuentes las solicitudes a Graph procedentes de binarios no firmados por Microsoft o ejecutados desde rutas modificables por el usuario. Una revisión retrospectiva de caza de amenazas con los indicadores de Check Point Research permite responder a la pregunta inevitable: si la campaña hubiera llegado a la organización, ¿habría quedado constancia?
Más adelante, el indicio puede ser menos visible pero más grave: la propia telemetría empieza a degradarse. Sensores que dejan de comunicar, vacíos en la secuencia de eventos de un único equipo o agentes activos que omiten determinadas clases de registros pueden indicar manipulación del núcleo. Deben gestionarse como una posible intrusión y no como una simple incidencia técnica.
El informe de Check Point Research reúne los indicadores de compromiso. Los equipos de inteligencia de amenazas, incluido el de Hard2bit, pueden incorporarlos a la vigilancia continua para buscar tanto la infraestructura conocida como los comportamientos asociados a la operación.
Defensa coordinada: actualizar, formar y responder
La prioridad inmediata es desplegar la actualización de seguridad de agosto de 2026 en todos los sistemas Windows. Deben atenderse primero los equipos de ingeniería, I+D y dirección técnica de las industrias atacadas. Con un parche disponible y explotación confirmada, retrasar su aplicación deja una exposición difícil de justificar.
El acceso inicial requiere una medida centrada en las personas. Una regla sencilla rompe toda la cadena: una oferta laboral legítima no obliga a instalar un visor especial para consultar la descripción del puesto. Repetir este principio entre perfiles técnicos sénior, que a menudo no se perciben como objetivos de phishing, resulta más útil que una lista genérica de advertencias.
El control de aplicaciones añade una barrera incluso cuando el engaño funciona. Un lector de PDF recibido por correo no debería poder ejecutarse en el ordenador de un ingeniero con acceso a proyectos sensibles. Las políticas que limitan el software autorizado convierten esa expectativa en una protección efectiva.
Ante la posibilidad de que FudModule se haya ejecutado, el equipo debe considerarse comprometido en el nivel del núcleo. La respuesta exige aislarlo, reinstalarlo desde una base limpia y renovar todas las credenciales y sesiones que hayan pasado por él, incluidas las de la nube. La respuesta a incidentes debe asumir que los registros locales pueden estar alterados y apoyarse en evidencias externas, como los registros de red, identidad y servicios cloud.
Las organizaciones industriales o de defensa que necesiten medir su exposición pueden recurrir a una empresa de ciberseguridad con inteligencia de amenazas y búsqueda proactiva. Ese trabajo convierte los hallazgos de un informe público en comprobaciones específicas sobre sus propios sistemas.
La enseñanza que deja la operación
Lazarus no utilizó el zero-day para cruzar el perímetro. Lo reservó para después del acceso inicial y dejó la entrada en manos del recurso más barato: la confianza profesional de un ingeniero que recibe un documento de un supuesto empleador. Desarrollar el fallo de núcleo pudo requerir meses; construir el señuelo solo necesitó una identidad convincente y una conversación sostenida.
La conclusión para Europa es directa. Mientras las falsas ofertas de trabajo sigan siendo eficaces, las vulnerabilidades de día cero encontrarán una vía de entrada. Los casos confirmados en Francia y Alemania demuestran que la defensa y el sector aeroespacial europeos se encuentran entre los objetivos concretos de esta operación.
El contenido de este artículo es divulgativo y defensivo. Las medidas de detección y refuerzo deben adaptarse a cada organización y validarse antes de aplicarlas en producción. La descripción de la campaña se basa en información pública disponible en agosto de 2026, y la atribución a grupos de amenazas puede cambiar con nuevas evidencias. En este post, cuando hablamos de Lazarus hablamos del grupo de amenaza persistente avanzada (APT). Se le rastrea desde al menos 2009 y opera bajo varios nombres según el proveedor: Hidden Cobra (nomenclatura del gobierno de EE. UU.), APT38 para su rama financiera, y otros alias como ZINC o Diamond Sleet en la taxonomía de Microsoft.
