Madrid, 14 de agosto de 2026 – Check Point Research, la división de Inteligencia de Amenazas de Check Point® Software Technologies Ltd. (NASDAQ: CHKP), ha descubierto una nueva campaña de Operation Dream Job, una conocida operación de ciberespionaje vinculada al grupo Lazarus, que utiliza falsas ofertas de empleo para dirigirse principalmente a organizaciones de los sectores de defensa, aeroespacial y aviación.
La campaña ha afectado a organizaciones de diferentes regiones, entre ellas Europa, Asia y Sudamérica, y combina técnicas de ingeniería social con malware personalizado e infraestructura comprometida para mantener el acceso a los sistemas de las víctimas. Entre las técnicas utilizadas se encuentra la explotación de una vulnerabilidad de día cero de Windows, posteriormente identificada como CVE-2026-68820, que permitía a los atacantes obtener privilegios elevados en los equipos comprometidos.
Países en los que Check Point Research identificó actividad de la campaña Operation Dream Job
Check Point Research notificó la vulnerabilidad a Microsoft el 28 de julio de 2026. Microsoft publicó posteriormente una actualización de seguridad para corregirla como parte de sus actualizaciones de seguridad de agosto.
La campaña comienza con una técnica que Lazarus lleva años utilizando: el contacto directo con profesionales a través de plataformas como LinkedIn o aplicaciones de mensajería para ofrecerles oportunidades laborales aparentemente atractivas. Los atacantes se hacen pasar por reclutadores y utilizan empresas y marcas conocidas para aumentar la credibilidad de sus comunicaciones.
Ejemplos de falsas ofertas de empleo utilizadas por Lazarus para ganarse la confianza de las víctimas
En algunos casos, las víctimas reciben archivos PDF con información aparentemente legítima sobre una oferta de empleo. En otros, son dirigidas a páginas web que imitan a empresas reales. Check Point Research identificó, por ejemplo, páginas que suplantaban a Enveil, una empresa legítima especializada en tecnología de privacidad. Algunas de estas páginas estaban optimizadas para aparecer entre los primeros resultados de los buscadores, aumentando las posibilidades de que las víctimas accedieran a ellas durante una búsqueda aparentemente legítima.
Una vez que la víctima descarga el archivo malicioso, comienza la cadena de infección. En una de las variantes identificadas por los investigadores, el archivo contiene un visor PDF legítimo firmado digitalmente junto con una DLL maliciosa y una carga cifrada. Al ejecutar el programa, la aplicación muestra información aparentemente relacionada con la oferta de empleo mientras despliega malware en segundo plano.
En otra de las cadenas analizadas, los atacantes utilizan SecurityPDF, un visor PDF manipulado que descarga un nuevo backdoor denominado Troy. Este implante permite a los atacantes realizar diferentes acciones de forma remota, entre ellas enumerar, descargar y exfiltrar archivos, acceder a una shell interactiva, finalizar procesos e inyectar DLL directamente en memoria.
Lazarus aprovecha infraestructura legítima para ocultar sus operaciones
Esquema de la cadena de infección identificada por Check Point Research, desde el archivo ZIP inicial hasta el control remoto del equipo comprometido.
Una de las características más destacadas de esta campaña es el uso de infraestructura legítima comprometida para dificultar la detección. En lugar de utilizar exclusivamente servidores controlados directamente por los atacantes, Lazarus ha recurrido a instalaciones comprometidas de Roundcube y a plataformas de gestión de contenidos para retransmitir las comunicaciones.
Check Point Research identificó al menos 17 servidores comprometidos utilizados como nodos de retransmisión para las comunicaciones de los atacantes. Estos servidores utilizaban una herramienta denominada RelayShell, un webshell que permite transmitir comandos y respuestas entre los equipos infectados y los operadores.
Los investigadores también observaron que algunos de estos sistemas habían sido comprometidos mediante vulnerabilidades conocidas y credenciales obtenidas a partir de filtraciones en la dark web. En al menos un caso, una organización legítima que ya había sido comprometida fue utilizada posteriormente para enviar nuevos mensajes de phishing, aprovechando la reputación de una víctima real para aumentar la credibilidad de las comunicaciones.
Esta combinación de ingeniería social, malware personalizado, explotación de vulnerabilidades e infraestructura legítima permite a los atacantes dificultar la detección y mantener sus operaciones durante más tiempo.
“Lo que hace especialmente peligrosa esta campaña no es únicamente la vulnerabilidad de día cero, sino la manera en la que Lazarus ha integrado infraestructura legítima y de confianza en prácticamente todas las fases del ataque. Los ciberdelincuentes se esconden a plena vista, aprovechando resultados destacados en buscadores, marcas reales y la reputación de organizaciones que ya han comprometido. Cuando la web, la descarga y el supuesto reclutador parecen auténticos, las recomendaciones tradicionales para detectar un enlace de phishing dejan de ser suficientes. Las organizaciones deben verificar el software a través de canales oficiales, aplicar las actualizaciones de seguridad tan pronto como estén disponibles y extender los principios de Zero Trust también a las páginas web y socios que parecen legítimos”, señala Sergey Shykevich, director de Threat Intelligence de Check Point Software.
Para ayudar a las organizaciones a protegerse frente a campañas similares, Check Point Research recomienda:
- Aplicar las actualizaciones de seguridad: instalar cuanto antes los parches disponibles para las vulnerabilidades identificadas, incluida la actualización de Microsoft que corrige CVE-2026-68820.
- Extremar la precaución ante ofertas de empleo no solicitadas: especialmente cuando impliquen descargar archivos, instalar aplicaciones o acceder a páginas web desconocidas.
- Verificar el software a través de fuentes oficiales: no confiar únicamente en los resultados de los buscadores y comprobar que las aplicaciones proceden de canales legítimos.
- Supervisar la infraestructura expuesta a Internet: revisar servidores de correo web, sistemas de gestión de contenidos y otros servicios accesibles desde Internet para identificar vulnerabilidades y posibles credenciales comprometidas.
- Realizar labores de threat hunting: utilizar los indicadores de compromiso asociados a esta campaña para comprobar si existen evidencias de actividad relacionada con Lazarus en los sistemas de la organización.
Para obtener más información, los profesionales de seguridad pueden registrarse en el próximo webinar de Check Point Research o descargar el informe completo.
Sigue Check Point Research vía:
Blog: https://research.checkpoint.com/
Twitter: https://twitter.com/_cpresearch_
Acerca de Check Point Research
Check Point Research proporciona inteligencia sobre ciberamenazas a los clientes de Check Point Software y a la comunidad de inteligencia. El equipo de investigación recopila y analiza datos de ciberataques globales almacenados en ThreatCloud para mantener los ciberdelincuentes a raya, al tiempo que se asegura de que todos los productos de Check Point estén actualizados con las últimas protecciones. El equipo de investigación está formado por más de 100 analistas e investigadores que cooperan con otros proveedores de seguridad, las fuerzas de seguridad y varios CERTs.
Sigue a Check Point Software a través de:
LinkedIn:https://www.linkedin.com/showcase/check-point-software-espana/
X: @CheckPointSpainFacebook: https://www.facebook.com/checkpointsoftware
Blog: https://blog.checkpoint.com/
YouTube: https://www.youtube.com/user/CPGlobal
Acerca de Check Point Software Technologies Ltd.
Check Point Software Technologies Ltd. (www.checkpoint.com) es líder global en ciberseguridad, protegiendo a más de 100.000 organizaciones en todo el mundo. Su misión es garantizar la transformación basada en IA de las empresas. Con un enfoque centrado en la prevención y una arquitectura de ecosistema abierto, Check Point ayuda a las organizaciones a bloquear amenazas avanzadas, priorizar exposiciones y automatizar operaciones de seguridad en entornos digitales complejos.
Su arquitectura unificada simplifica la protección en redes híbridas, entornos multicloud, espacios de trabajo digitales y sistemas de IA. Estructurada en cuatro pilares estratégicos —Hybrid Mesh Network Security, Workspace Security, Exposure Management y AI Security—, Check Point garantiza una protección y visibilidad consistentes en entornos multivendor, permitiendo reducir riesgos, aumentar la eficiencia y acelerar la innovación sin incrementar la complejidad.
©2026 Check Point Software Technologies Ltd. Todos los derechos reservados.
Aviso legal sobre declaraciones prospectivas
Este comunicado de prensa contiene declaraciones prospectivas. Las declaraciones prospectivas se refieren, en general, a eventos futuros o al futuro rendimiento financiero u operativo de la compañía.
Las declaraciones prospectivas incluidas en este comunicado de prensa incluyen, entre otras, afirmaciones relacionadas con nuestras expectativas sobre el crecimiento futuro, la expansión del liderazgo de Check Point en el sector, el refuerzo del valor para los accionistas y la disponibilidad de una plataforma de ciberseguridad líder en el sector para clientes de todo el mundo.
Nuestras expectativas y creencias sobre estos asuntos pueden no materializarse, y los resultados o acontecimientos futuros están sujetos a riesgos e incertidumbres que podrían provocar que los resultados o eventos reales difieran sustancialmente de los proyectados.
Las declaraciones prospectivas contenidas en este comunicado de prensa también están sujetas a otros riesgos e incertidumbres, incluidos aquellos descritos con mayor detalle en nuestros informes presentados ante la Securities and Exchange Commission (SEC), incluido nuestro Informe Anual en el Formulario 20-F presentado ante la SEC el 17 de marzo de 2025.
Las declaraciones prospectivas incluidas en este comunicado de prensa se basan en la información disponible para Check Point en la fecha del presente documento, y Check Point renuncia a cualquier obligación de actualizar dichas declaraciones prospectivas, salvo cuando así lo exija la legislación aplicable.
©2026 Check Point Software Technologies Ltd. Todos los derechos reservados.
