Ein falsches Jobangebot schaltet den Windows-Schutz ab: Was Unternehmen aus der Lazarus-Kampagne lernen sollten

Die Nachricht kommt freundlich und passt genau: Ein Personalberater meldet sich, ein namhaftes Unternehmen suche jemanden mit genau Ihrem Profil. Die Stellenbeschreibung kommt als verschlüsseltes ZIP-Archiv, das Passwort steht gleich dabei, ein PDF-Betrachter liegt bei. Man öffnet es, liest die Beschreibung, alles wirkt seriös. Im Hintergrund hat in diesem Moment ein Angreifer den Rechner übernommen – und kurz darauf die Sicherheitssoftware so manipuliert, dass sie nichts mehr meldet.

Genau so ist es in den vergangenen Monaten Beschäftigten von Rüstungs-, Luft- und Raumfahrtunternehmen ergangen, unter anderem in Frankreich und Deutschland. Aufgedeckt hat die Kampagne das Sicherheitsunternehmen Check Point Research, Golem hat das Thema heute mit Blick auf Administratoren aufgegriffen: Wie erkennt man einen Angriff, wenn die Schutzsoftware selbst ausgeschaltet wurde? Die Angreifer gehören zur nordkoreanischen Gruppe Lazarus, und die Kampagne trägt seit Jahren denselben Namen: „Operation Dream Job" – der Traumjob als Köder.

Was ist passiert?

Check Point beobachtet die aktuelle Welle seit Anfang 2026. Ziel waren vor allem Unternehmen und Beschäftigte aus Verteidigung, Luft- und Raumfahrt, darunter Hersteller von Überwachungssensorik, Drohnen und Robotik. Erfolgreiche Angriffe gab es in Westeuropa, Indien und Südamerika. Eine kompromittierte Organisation in Frankreich wurde anschließend selbst als Absender missbraucht, um weitere Ziele anzuschreiben.

Die Angriffskette lief in mehreren Schritten:

• Der Köder: Ein verschlüsseltes ZIP-Archiv mit drei Dateien – einem echten, digital signierten PDF-Betrachter, einer manipulierten Programmbibliothek (DLL) und einer verschlüsselten Datei, die sich als PDF tarnt. Als Lockvogel diente unter anderem eine Stellenbeschreibung von Lockheed Martin.
• Der Trick mit dem echten Programm: Startet das Opfer den Betrachter, lädt dieser die manipulierte DLL aus demselben Ordner mit. Dieses Verfahren heißt DLL-Sideloading. Das Opfer sieht eine echte Stellenbeschreibung, während im Arbeitsspeicher bereits Schadcode läuft.
• Nachladen über Microsoft-Dienste: Die eingeschleuste Software lädt weitere Module nach – über OneDrive und die offizielle Microsoft-Schnittstelle. Für Firewalls sieht das aus wie normaler Office-Verkehr.
• Die Zero-Day-Lücke: Eines dieser Module nutzt eine damals unbekannte Schwachstelle im Windows-Treiber AFD.sys aus (CVE-2026-68820). Damit erlangen die Angreifer die höchsten Rechte im System.
• Der Schutz wird ausgeschaltet: Mit diesen Rechten installieren sie ein Rootkit namens FudModule, das sich im Kern des Betriebssystems einnistet und die Sicherheitsüberwachung gezielt lahmlegt. Erst danach folgt die eigentliche Hintertür für den dauerhaften Fernzugriff.

Parallel lief eine zweite Variante: gefälschte Stellenangebote im Namen eines Datenschutz-Unternehmens, dazu Webseiten, die in Suchmaschinen weit oben auftauchten und einen manipulierten PDF-Betrachter zum Download anboten. Köder und Werkzeug kamen hier also getrennt – die Mail enthielt nur ein harmloses PDF, das gefährliche Programm holte sich das Opfer selbst.

Wie die Schutzsoftware blind gemacht wird

Der eigentlich beunruhigende Teil dieser Kampagne ist nicht das Jobangebot, sondern das, was danach geschieht. Moderne Schutzsoftware – Virenschutz, Angriffserkennung (EDR), Windows-eigene Mechanismen – bezieht ihre Informationen zu großen Teilen direkt aus dem Betriebssystemkern: Welcher Prozess startet, welche Datei wird geschrieben, welcher Registry-Eintrag ändert sich. Wer im Kern sitzt, kann diese Informationsquellen abklemmen.

Genau das tut FudModule in der neuen Version 3.1. Laut Check Point schaltet es unter anderem die Benachrichtigungen ab, über die Sicherheitsprodukte von neuen Prozessen, Dateizugriffen und Registry-Änderungen erfahren, beendet Windows-eigene Protokollierung und schaltet eine fest einprogrammierte Liste von 94 Ereignisquellen stumm. Neu ist außerdem ein Angriff auf Smart App Control – eine Windows-11-Funktion, die nur vertrauenswürdige Programme starten lassen soll.

Das Ergebnis: Die Schutzsoftware läuft weiter, zeigt ein grünes Häkchen – und sieht nichts mehr. Die eigentliche Hintertür kann danach ungestört arbeiten.

Wie lange war die Lücke offen?

Der Zeitablauf zeigt, wie wenig ein Update allein über die Sicherheit eines Systems aussagt:

• Spätestens Anfang Juli 2026: Die Lücke wird nach Erkenntnissen von Check Point bereits aktiv ausgenutzt.
• 28. Juli: Check Point meldet die Schwachstelle an Microsoft.
• 11. August: Microsoft schließt die Lücke mit dem regulären Patchday. Die US-Behörde CISA nimmt sie noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen auf.

Mindestens fünf Wochen lang wurde die Lücke also ausgenutzt, ohne dass es ein Update gab. Bemerkenswert ist auch die Bewertung: Microsoft stufte die Lücke mit 7,0 von 10 Punkten als „wichtig", nicht als „kritisch" ein – formal korrekt, weil ein Angreifer bereits Code auf dem Rechner ausführen können muss. In der Praxis war sie aber genau das fehlende Glied, um aus einem geöffneten Anhang eine vollständige, unsichtbare Übernahme zu machen. Wer seine Updates nur nach Punktzahl priorisiert, hätte sie womöglich nach hinten geschoben.

Der Exploit war auf die aktuellen Windows-11-Versionen 24H2 und 25H2 zugeschnitten. Lazarus hatte übrigens schon 2024 eine strukturell ähnliche Lücke im selben Treiber ausgenutzt.

„Wir sind doch kein Rüstungskonzern"

Das stimmt für die allermeisten Unternehmen. Trotzdem lohnt es sich, die Kampagne ernst zu nehmen, aus drei Gründen.

Erstens: Zulieferer sind Teil der Kette. Wer Bauteile, Software oder Dienstleistungen für Luftfahrt, Verteidigung, Sensorik oder Maschinenbau liefert, ist für Angreifer oft der einfachere Weg zum eigentlichen Ziel. Der Fall der französischen Organisation, die anschließend selbst Phishing-Mails verschickte, zeigt das deutlich.

Zweitens: Die Methode ist universell. Ein glaubwürdiges, auf die Person zugeschnittenes Anschreiben, ein passwortgeschütztes Archiv, ein vertrauenswürdig wirkendes Programm – das funktioniert gegen jede Branche. Die ukrainische Cybersicherheitsbehörde CERT-UA berichtet von einer weiteren Gruppe, die seit Mai 2026 mit gefälschten Jobangeboten gezielt Systemadministratoren und IT-Fachkräfte angeht – also genau die Menschen mit den weitreichendsten Zugriffsrechten. Und mit KI lassen sich solche Anschreiben heute in Minuten auf jeden Lebenslauf zuschneiden.

Drittens: Die Werkzeuge wandern. Techniken, die heute staatliche Gruppen gegen Rüstungsfirmen einsetzen, tauchen erfahrungsgemäß später bei gewöhnlichen Kriminellen auf. Schutzsoftware auszuschalten, bevor die eigentliche Schadsoftware startet, ist bei Ransomware-Gruppen längst Standard.

Was Sie jetzt konkret tun sollten

• Prüfen Sie, ob das August-Update überall installiert ist. Die Lücke ist seit dem 11. August geschlossen. Entscheidend ist, dass das Update auch wirklich auf jedem Windows-Rechner angekommen ist – nicht nur auf denen, die regelmäßig im Büro stehen. Wie man das verlässlich organisiert, steht in Patch-Management: Der unterschätzte Schutz vor Cyberangriffen.
• Behandeln Sie verschlüsselte Archive aus unbekannter Quelle als Warnsignal. Ein ZIP mit mitgeliefertem Passwort hat meist nur einen Zweck: den Virenscanner im Mailsystem zu umgehen, der verschlüsselte Inhalte nicht prüfen kann. Das gilt für Jobangebote ebenso wie für angebliche Rechnungen oder Bewerbungen.
• „Signiert" heißt nicht „harmlos". Die Angreifer nutzten ein echtes, signiertes Programm als Träger. Eine Regel, die das Ausführen von Programmen aus Download- und Temp-Ordnern unterbindet, hätte diese Kette an der ersten Stelle unterbrochen. Solche Anwendungsregeln lassen sich in Windows zentral vorgeben.
• Überwachen Sie auch die Überwachung. Wenn ein Rechner aufhört, Meldungen an die Sicherheitszentrale zu schicken, ist das selbst ein Alarm – kein Grund zur Entspannung. Fragen Sie Ihren Dienstleister, ob ein „verstummter" Rechner bei Ihnen auffallen würde.
• Speichern Sie Protokolle außerhalb der Rechner. Was auf dem kompromittierten System liegt, kann der Angreifer löschen oder fälschen. Protokolle, die zentral gesammelt werden, bleiben als Spur erhalten.
• Nach einer Kompromittierung neu aufsetzen, nicht reinigen. Ein Rootkit im Betriebssystemkern lässt sich nicht zuverlässig entfernen. Ein betroffener Rechner wird aus einer sauberen Quelle neu installiert, alle Zugangsdaten, die dort verwendet wurden, werden getauscht.
• Sensibilisieren Sie gezielt die, die angeschrieben werden. Fachkräfte mit gefragtem Profil, Personalabteilung, IT-Administratoren. Ein kurzer Hinweis, wie solche Anfragen aussehen, wirkt mehr als eine allgemeine Phishing-Schulung. Beispiele aus unserem eigenen Alltag finden Sie in Sechs Phishing-Fälle in drei Wochen.
• Trennen Sie Privates und Dienstliches. Jobangebote richten sich an die Person, landen aber oft auf dem Firmenrechner. Eine private Karriereanfrage gehört nicht auf das Gerät, mit dem die Buchhaltung oder die Konstruktion arbeitet.

Unser Fazit

Die Lazarus-Kampagne ist kein Grund zur Panik – die Lücke ist geschlossen, und die meisten Unternehmen stehen nicht im Fokus eines nordkoreanischen Geheimdienstes. Sie ist aber ein sehr anschauliches Beispiel für etwas, das das BSI in seiner aktuellen Einschätzung zu KI und Cybersicherheit „Assume Breach" nennt: davon ausgehen, dass ein Angreifer bereits im System sein könnte, und so planen, dass man ihn trotzdem bemerkt. Mehr dazu in Patches in Stunden statt Tagen: Was das BSI wegen KI jetzt von Unternehmen verlangt.

Die wichtigste Lehre passt in einen Satz: Ein grünes Häkchen in der Schutzsoftware ist eine Aussage über die Schutzsoftware, nicht über Ihren Rechner. Sicherheit entsteht aus mehreren Schichten – schnelle Updates, eingeschränkte Ausführungsrechte, zentrale Protokolle, aufmerksame Mitarbeiter und jemand, der bemerkt, wenn ein Gerät plötzlich still wird.

So können wir Ihnen helfen

Wir betreuen die Arbeitsplätze und Server unserer Kunden so, dass Updates zuverlässig ankommen, Auffälligkeiten zentral sichtbar werden und ein stummer Rechner nicht unbemerkt bleibt.

Quellen:
• Golem.de – „Windows-Kernel: Ein falsches Jobangebot hebelt den Windows-Schutz aus" (14.10.2026, Golem-Plus-Artikel), zum Beitrag
• Check Point Research – „Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack" (11.08.2026), zum Beitrag
• Help Net Security – „Lazarus hackers pair fake job offers with Windows zero-day exploit" (Sinisa Markovic, 12.08.2026), zum Beitrag
• Tech Times – „Lazarus Group Hacked Defense Workers With Windows Kernel Zero-Day for Five Weeks" (12.08.2026), zum Beitrag
• CISA – Known Exploited Vulnerabilities Catalog (CVE-2026-68820), cisa.gov
• BSI – IT-Sicherheitsinformation „Auswirkungen auf die Cybersicherheit von Organisationen durch die Entwicklung im Bereich Künstlicher Intelligenz" (22.06.2026), bsi.bund.de
Die Beiträge wurden inhaltlich eigenständig aufbereitet und für Unternehmen in Deutschland redaktionell eingeordnet.