Operation Dream Job 2026: fałszywa rekrutacja Lazarus wraca

TL;DR

Operation Dream Job to jeden z najlepszych przykładów phishingu, który nie wygląda jak phishing. Nie zaczyna się od alarmującego maila o wygasającym haśle ani od fałszywej faktury. Zaczyna się od atrakcyjnej propozycji zawodowej, rozmowy z rekruterem i procesu, który może trwać wystarczająco długo, aby ofiara uznała go za autentyczny.

W sierpniu 2026 pojawiły się informacje o kolejnej fali kampanii przypisywanej grupie Lazarus. Napastnicy utworzyli fikcyjne firmy, strony WWW, profile rekruterów i ogłoszenia dotyczące dobrze płatnych stanowisk w branżach takich jak software, lotnictwo, aerospace i obronność. Celem nie jest wyłącznie kandydat. Jego komputer może stać się wejściem do organizacji, w której pracuje.

To ważna zmiana perspektywy dla security awareness: prywatna aktywność pracownika na rynku pracy może tworzyć ryzyko służbowe, jeśli zadanie rekrutacyjne zostanie wykonane na firmowym komputerze albo w środowisku mającym dostęp do kodu, VPN, chmury, poczty czy kluczy deweloperskich.

Operation Dream Job ma wieloletnią historię

Nazwa nie jest nowa. MITRE ATT&CK opisuje Operation Dream Job jako kampanię cyberwywiadowczą prawdopodobnie prowadzoną przez Lazarus Group. W historycznie opisanych działaniach napastnicy tworzyli fałszywe konta LinkedIn, podszywali się pod pracowników HR i prowadzili rozmowy rekrutacyjne, aby przekonać wybrane osoby do otwarcia złośliwych plików albo linków.

Istotna jest selekcja celów. MITRE dokumentuje rozpoznanie organizacji i ról, a następnie dopasowywanie ofert pracy do konkretnych osób. To nie jest masowy spam wysłany przypadkowo do miliona odbiorców. Oferta ma pasować do doświadczenia, branży i aspiracji celu.

Dzięki temu atak wykorzystuje mechanizm, którego typowe szkolenie phishingowe często nie obejmuje: pozytywną emocję. Zamiast strachu przed utratą konta pojawia się ciekawość, ambicja i potencjalna poprawa sytuacji zawodowej.

Jak wygląda współczesna wersja fałszywej rekrutacji

W analizie opublikowanej 11 sierpnia 2026 Check Point Research opisuje nową falę Operation Dream Job wymierzoną przede wszystkim w sektor obronny, lotniczy i aerospace. Napastnicy podszywają się pod rekruterów, kontaktują się przez LinkedIn lub komunikatory i prowadzą cel do pobrania pliku albo aplikacji wyglądającej jak naturalny element procesu rekrutacyjnego.

Potem rozpoczyna się właściwa rekrutacja. Kandydat może dostać dokument opisujący stanowisko, program do jego otwarcia, aplikację szkoleniową albo zadanie techniczne. Każdy z tych elementów wygląda jak naturalna część procesu.

To właśnie ten moment jest kluczowy. Użytkownik nie myśli: „czy to jest malware?”, tylko: „czy dobrze wykonam zadanie i dostanę tę pracę?”. Napastnik wykorzystuje zmianę kontekstu decyzyjnego.

Złośliwy PDF może wyglądać jak narzędzie rekrutacyjne

Taki model nie jest tylko teorią. ESET Research opisał realne ataki Operation DreamJob na trzy europejskie firmy z sektora obronnego. W tych przypadkach initial access najprawdopodobniej uzyskano przez socjotechnikę związaną z ofertą pracy.

Ofiara dostawała dokument z opisem stanowiska i zmanipulowany czytnik PDF. Uruchomienie aplikacji prowadziło do wykonania malware. Głównym payloadem był ScoringMathTea, RAT zapewniający napastnikom kontrolę nad przejętym komputerem.

ESET wskazał firmy z Europy Środkowej i Południowo-Wschodniej, w tym podmioty związane z przemysłem lotniczym i obronnym. Badacze oceniali, że prawdopodobnym celem było pozyskanie własności intelektualnej i know-how produkcyjnego, między innymi w obszarze UAV.

To pokazuje, że „oferta pracy” jest tylko opakowaniem. Finalnym celem może być cyberwywiad przeciw obecnemu pracodawcy kandydata.

W 2026 pojawiają się nowe narzędzia

Check Point Research opisuje dwie równoległe ścieżki infekcji, dlatego nie należy przedstawiać wszystkich nazw narzędzi jako jednego obowiązkowego łańcucha. W pierwszej ofiara uruchamia legalnie podpisany czytnik PDF dostarczony razem ze złośliwą biblioteką DLL. DLL sideloading prowadzi do uruchomienia MISTPEN, a po rozpoznaniu środowiska i eskalacji uprawnień może zostać wdrożony backdoor ForestTiger.

Druga, nowsza ścieżka wykorzystuje czytnik SecurityPDF. Otwierany dokument zawiera ukryty marker, który powoduje odszyfrowanie i uruchomienie backdoora Troy w pamięci. Check Point opisuje Troy jako implant obsługujący m.in. operacje na plikach, interaktywną powłokę, wykonywanie dalszego kodu i in-memory DLL injection.

W tej samej operacji badacze opisali również RelayShell — webshell używany na wcześniej przejętych serwerach Roundcube i CMS jako warstwa pośrednicząca dla command-and-control. W efekcie ruch napastników może przechodzić przez legalną, ale skompromitowaną infrastrukturę zamiast przez oczywiste serwery należące do atakującego.

Najważniejszą korektą względem wcześniejszej wersji artykułu jest status podatności Windows. Jest już publicznie potwierdzona jako CVE-2026-68820. NVD opisuje ją jako use-after-free w Windows Ancillary Function Driver for WinSock (AFD.sys), pozwalający lokalnemu napastnikowi z istniejącym dostępem podnieść uprawnienia. Rekord został opublikowany 11 sierpnia 2026 i wskazuje, że podatność trafiła do katalogu CISA Known Exploited Vulnerabilities jako aktywnie wykorzystywana.

Check Point zgłosił podatność Microsoftowi 28 lipca. Microsoft potwierdził problem trzy dni później, przydzielił identyfikator CVE-2026-68820 5 sierpnia i wydał poprawkę 11 sierpnia w ramach Patch Tuesday. To ważne rozróżnienie: exploit nie zastępuje socjotechniki. Pojawia się po tym, jak ofiara uruchomi dostarczony kod, dlatego organizacja potrzebuje jednocześnie aktualizacji Windows i kontroli zachowania użytkownika.

Przejęta firma może stać się nadawcą kolejnego phishingu

Jeden z bardziej niepokojących elementów najnowszego raportowania dotyczy wykorzystania już przejętych organizacji jako infrastruktury kolejnych ataków. W opisanym przypadku skompromitowany podmiot z Europy Zachodniej miał posłużyć do wysyłania dalszych wiadomości spear-phishing.

To znacznie podnosi jakość oszustwa. Wiadomość wysłana z realnej, wcześniej zaufanej organizacji nie musi mieć podejrzanej domeny. SPF, DKIM i DMARC mogą działać poprawnie. Historia korespondencji może być prawdziwa, a nadawca może istnieć od wielu lat.

Dlatego reguła „sprawdź domenę nadawcy” jest potrzebna, ale niewystarczająca. W dojrzałym ataku sama domena może być prawdziwa.

Dlaczego rekrutacja jest tak dobrym kanałem ataku

Proces rekrutacyjny ma kilka cech idealnych dla socjotechniki.

Po pierwsze, kontakt od nieznajomego jest normalny. Kandydat nie oczekuje wcześniejszej relacji z rekruterem.

Po drugie, przesyłanie plików i linków również jest normalne. CV, opis stanowiska, prezentacja, zadanie domowe, repozytorium Git czy kalendarz spotkania należą do standardowego workflow.

Po trzecie, kandydat chce zrobić dobre wrażenie. Nietypowa prośba może zostać wykonana szybciej, bo odmowa wydaje się ryzykiem utraty okazji.

Po czwarte, rekrutacja coraz częściej odbywa się poza kontrolowanymi kanałami firmy: LinkedIn, prywatny e-mail, WhatsApp, Telegram, GitHub czy platformy do rozmów wideo.

I wreszcie: osoba atakowana może korzystać z firmowego laptopa, nawet jeśli rozmowa dotyczy zmiany pracodawcy. Z punktu widzenia atakującego jest to idealny most między prywatną decyzją pracownika a zasobami przedsiębiorstwa.

Dream Job i Contagious Interview to nie to samo

Warto rozdzielić dwie podobne historie. Na PHISHLY opisywaliśmy już ataki przez fałszywą rekrutację i złośliwe repozytoria. Microsoft śledzi ten nurt jako Contagious Interview i w marcu 2026 opisał przypadki, w których developer podczas rzekomego procesu rekrutacji klonował i wykonywał przygotowany pakiet lub repozytorium.

Microsoft obserwował między innymi OtterCookie, FlexibleFerret i inne backdoory. Atak wykorzystywał techniczne rozmowy, zadania i instrukcje wyglądające jak normalny test programistyczny.

Operation Dream Job i Contagious Interview mają wspólną psychologię i są wiązane z aktorami północnokoreańskimi, ale nie powinny być używane jako synonimy. Dla użytkownika lekcja jest jednak podobna: proces rekrutacyjny sam w sobie stał się powierzchnią ataku.

Jak organizacja może ograniczyć ryzyko

Najważniejsze jest przyjęcie, że nie da się zakazać pracownikom szukania pracy. Polityka bezpieczeństwa powinna więc koncentrować się na separacji ryzyka.

Deweloper lub inny pracownik wykonujący zewnętrzne zadanie techniczne nie powinien robić tego w środowisku, które ma jednocześnie dostęp do:

• firmowego VPN,
• repozytoriów produkcyjnych,
• sekretów CI/CD,
• kluczy SSH,
• zapisanych tokenów chmurowych,
• służbowej poczty,
• aktywnej sesji menedżera haseł,
• danych klientów lub dokumentacji wewnętrznej.

Microsoft rekomenduje dla zewnętrznych zadań rekrutacyjnych dedykowane, izolowane i najlepiej nieutrwalone środowisko, na przykład VM bez dostępu do firmowych zasobów. To bardzo praktyczna kontrola: nie wymaga rozpoznania każdej kampanii, tylko ogranicza skutki błędnej decyzji.

Drugą warstwą jest weryfikacja procesu. Firma powinna nauczyć pracowników, że można sprawdzić rekrutera niezależnym kanałem: wejść na oficjalną stronę firmy, znaleźć numer centrali lub dział HR i potwierdzić proces bez korzystania z danych podanych przez osobę inicjującą kontakt.

Pięć czerwonych flag zadania rekrutacyjnego

Szczególną ostrożność powinny wywoływać sytuacje, w których rekruter prosi o:

1. zainstalowanie niestandardowego programu tylko po to, żeby otworzyć dokument,
2. sklonowanie repozytorium i natychmiastowe uruchomienie kodu,
3. wykonanie komendy skopiowanej z czatu lub strony internetowej,
4. wyłączenie antywirusa, EDR, SmartScreen lub innych zabezpieczeń,
5. użycie służbowego komputera „bo na nim jest właściwe środowisko”.

Żaden pojedynczy sygnał nie musi oznaczać ataku. Ale każde takie żądanie powinno zatrzymać automatyczne wykonywanie instrukcji i uruchomić niezależną weryfikację.

Jak powinno wyglądać szkolenie awareness

Klasyczna symulacja phishingowa może sprawdzić link i formularz logowania. Operation Dream Job pokazuje, że to za mało.

Scenariusz szkoleniowy może zaczynać się od wiadomości na LinkedIn albo e-maila od „headhuntera”, prowadzić do rozmowy i zakończyć bezpiecznym zadaniem testującym decyzję użytkownika: czy pobierze nieznany program, uruchomi komendę albo użyje służbowego urządzenia.

Ważne, żeby mierzyć nie tylko „kliknięcie”. Bardziej wartościowe są pytania:

• czy pracownik zweryfikował rekrutera,
• czy rozpoznał nietypowe wymaganie techniczne,
• czy oddzielił prywatną aktywność od firmowego środowiska,
• czy zgłosił podejrzany kontakt,
• jak szybko organizacja dostała informację o potencjalnym incydencie.

To jest dokładnie ten rodzaj ataku, w którym świadomość i architektura bezpieczeństwa muszą działać razem.

Praktyczne ćwiczenia tego typu warto włączyć do programu security awareness i do testów phishingowych dla firm, tak aby mierzyć nie tylko kliknięcie, ale też reakcję na rekrutera, plik, repozytorium i polecenie uruchomienia kodu.

Wniosek

Operation Dream Job trwa od lat, bo wykorzystuje bardzo trwałą słabość: zaufanie do procesu rekrutacyjnego. Narzędzia się zmieniają - dokumenty, PDF-y, repozytoria, backdoory, przejęte serwery - ale rdzeń pozostaje podobny.

Napastnik nie musi przekonać pracownika, że jest administratorem bezpieczeństwa. Wystarczy, że przekona go, że oferuje lepszą pracę.

Dla organizacji oznacza to, że security awareness nie może kończyć się na skrzynce służbowej. Pracownik może zostać zaatakowany jako kandydat, konferencyjny prelegent, dostawca, developer albo użytkownik prywatnego LinkedIn. Jeżeli użyje w tym procesie firmowego urządzenia, prywatna socjotechnika może stać się firmowym incydentem.