Lazarus et Operation Dream Job : la menace qui ne dort pas

En 2026, Lazarus continue d'exploiter des zero-days Windows dans vos organisations — non pas parce qu'il est plus fort qu'avant, mais parce que vous continuez à ne pas patcher à temps, à ne pas former vos équipes, et à sous-estimer une menace étatique qui s'appelle North Korea mais qui pense en milliards de dollars.

Qui est vraiment Lazarus en 2026 ?

Lazarus Group — aussi connu sous les noms Hidden Cobra, ZINC ou APT38 selon les sources — est un groupe de cybermenace étatique affilié au Bureau général de reconnaissance (RGB) nord-coréen. Actif depuis au moins 2009, le groupe a progressivement évolué d'un outil d'espionnage classique vers une structure hybride remplissant deux missions simultanées et complémentaires : espionnage au profit du régime nord-coréen ET génération de revenus pour financer ce même régime sous sanctions internationales.

Ce détail est fondamental pour comprendre pourquoi Lazarus est différent de tous les autres groupes APT. Un groupe comme APT29 (Cozy Bear, russe) est fondamentalement intéressé par l'information. APT41 (chinois) combine espionnage et cybercriminalité. Lazarus, lui, a institutionnalisé le vol financier comme source de financement d'État. D'après les estimations du FBI, du Trésor américain et de plusieurs cabinets d'analyse privés, le groupe a détourné plus de 3 milliards de dollars en cryptomonnaies entre 2017 et 2025. En 2022 seul, plus de 1,7 milliard de dollars en crypto ont été volés et attribués au groupe — dont 620 millions lors du seul hack du réseau Ronin d'Axie Infinity.

Cette enveloppe financière colossale a une conséquence directe sur le niveau de sophistication opérationnelle : Lazarus dispose de ressources pour maintenir en parallèle plusieurs équipes spécialisées, développer des outils offensifs propriétaires de haut niveau, acquérir des zero-days sur les marchés spécialisés, et maintenir des opérations de longue haleine sur plusieurs années sans pression de rentabilité à court terme. En 2026, Lazarus n'est pas un groupe cybercriminel ordinaire — c'est un acteur étatique dont l'activité offensive est subventionnée par les économies réalisées sur les sanctions internationales.

Les cibles prioritaires reflètent cette double nature : secteur de la cryptomonnaie et des exchanges (pour le vol financier), défense et aérospatiale (pour l'espionnage militaire), prestataires gouvernementaux et think tanks (pour le renseignement politique), et l'ensemble du tissu technologique mondial via des campagnes comme Operation Dream Job qui maximisent la surface d'attaque. En Europe, y compris en France, plusieurs incidents attribués à Lazarus ont été documentés depuis 2023 dans le secteur de la défense et des technologies critiques, sans faire l'objet de communications publiques officielles.

Operation Dream Job : le recruteur qui vous piège

Operation Dream Job est l'une des campagnes d'ingénierie sociale les plus sophistiquées et les plus durables de l'histoire de la cybersécurité. Active depuis 2019, elle n'a jamais cessé — elle s'est adaptée, affinée et intensifiée. Son principe est d'une simplicité désarmante : Lazarus crée de faux profils de recruteurs sur LinkedIn (et parfois WhatsApp, Telegram ou des plateformes sectorielles), identifie des professionnels techniques avec un profil attractif, et les approche avec une offre d'emploi parfaitement calibrée pour leur profil.

La sophistication réside dans les détails. Les faux recruteurs utilisent des photos de profil générées par IA indiscernables de profils réels, s'appuient sur des historiques professionnels fictifs mais cohérents, et utilisent de vraies entreprises comme couverture fictive (Microsoft, Lockheed Martin, Amazon, KPMG, Thales). Le message initial est sobre et professionnel, la rémunération proposée légèrement au-dessus du marché, et le processus d'entretien est longuement orchestré pour instaurer une relation de confiance avant la livraison du payload.

La livraison finale prend des formes variées selon les campagnes :

• Un "test technique à faire chez soi" sous forme de fichier ZIP contenant un projet de développement légitime en apparence, mais incluant un loader de malware dans les dépendances ou les scripts de build.
• Un "questionnaire de compétences" sous forme de document Office avec macros malveillantes, ou un PDF exploitant un viewer vulnérable.
• Un lien vers un dépôt GitHub ou GitLab privé contenant du code malveillant dissimulé dans un projet de taille réaliste.
• Des invitations à des "entretiens en visioconférence" via des applications personnalisées qui servent de dropper (vecteur documenté par ESET en 2025).

Une fois le code exécuté sur le poste de la victime, Lazarus dispose d'un point d'ancrage dans l'organisation. L'implant initial est généralement discret — il se contente d'ouvrir un canal de communication chiffré vers les serveurs C2 du groupe, en attendant les instructions suivantes. C'est là que CVE-2026-68820 entre en jeu : l'escalade de privilèges via AFD.sys permet de déployer des capacités offensives de niveau supérieur.

En 2026, les leurres se sont affinés grâce à l'IA générative. Lazarus produit désormais des offres d'emploi hyper-personnalisées qui reprennent exactement les compétences listées sur le profil LinkedIn de la cible, proposent une rémunération précisément dans la fourchette supérieure du marché pour le poste, et incluent parfois des références à des projets réels de l'entreprise du candidat pour renforcer la crédibilité. Cette personnalisation augmente significativement les taux de conversion : un ingénieur cybersécurité spécialisé en pentest qui reçoit une offre parfaitement adaptée à son profil d'un "recruteur Microsoft" est bien plus susceptible d'interagir que si l'offre était générique.

CVE-2026-68820 et AFD.sys : ce que signifie cette faille pour vos défenses

Comprendre CVE-2026-68820 nécessite un peu de contexte technique. AFD.sys (Ancillary Function Driver for WinSock) est un driver kernel Windows présent sur absolument tous les systèmes Windows depuis Windows XP. Il constitue la couche bas-niveau gérant les opérations sur les sockets réseau. Sa présence universelle en fait une cible de premier choix : exploiter une vulnérabilité dans AFD.sys, c'est exploiter quelque chose de présent sur 100% des postes Windows.

La faille est une condition de course de type use-after-free. Techniquement : le driver libère un bloc mémoire dans certaines conditions, mais une référence à ce bloc continue d'être utilisée dans une fenêtre temporelle de quelques microsecondes. Un attaquant qui réussit à allouer de nouvelles données dans cet espace mémoire avant que l'accès ne soit invalidé peut contrôler ce que le driver lit et exécute — avec des droits kernel. Le CVSS de 7.0 reflète la nécessité d'un accès local authentifié et la complexité de la race condition. Mais Lazarus dispose clairement d'un exploit fiable : Check Point Research a observé une exploitation répétée avec un taux de succès élevé.

Ce qui m'intéresse ici sur le plan défensif : pourquoi CVE-2026-68820 a-t-elle pu être exploitée en production avant d'être patchée ? Le Patch Tuesday d'août 2026 comportait 398 CVE. Même les équipes sécurité les mieux organisées peinent à évaluer, tester et déployer un volume pareil en moins de 14 jours sur l'ensemble du parc. Les équipes moins bien organisées mettent 30, 60, parfois 90 jours. C'est dans cette fenêtre que les acteurs comme Lazarus opèrent.

FudModule, le rootkit associé à cette campagne, représente lui aussi une évolution inquiétante. Dans ses versions précédentes (documentées par ESET et AhnLab en 2022-2024), FudModule utilisait des drivers Windows légitimes mais vulnérables (technique BYOVD). Cette technique a progressivement été contrée par Microsoft via des mises à jour de la liste de blocage des drivers vulnérables. L'exploitation directe d'une vulnérabilité kernel comme CVE-2026-68820 représente une réponse tactique à ces contre-mesures : plutôt qu'apporter un driver vulnérable connu, Lazarus exploite un composant kernel universel et légitime. C'est une escalade significative dans la sophistication.

Le paradoxe de la menace étatique : pourquoi les entreprises continuent de sous-estimer Lazarus

Il y a une croyance persistante dans beaucoup d'organisations françaises — j'y suis confronté régulièrement — selon laquelle les groupes APT étatiques ne les concernent pas. "Nous ne sommes pas une cible stratégique pour la Corée du Nord", m'entend-on souvent dire. C'est une erreur de raisonnement sur plusieurs niveaux.

Premièrement, Lazarus ne cible pas uniquement des organisations stratégiques au sens géopolitique. Ses campagnes de vol financier ciblent toute organisation présentant une surface d'attaque rentable — un exchange crypto, un gestionnaire de portefeuille institutionnel, une société fintech, une entreprise de capital-risque investie dans la crypto. La question n'est pas "sommes-nous importants pour la Corée du Nord ?" mais "avons-nous quelque chose que Lazarus peut monétiser ?"

Deuxièmement, Operation Dream Job ne cible pas les organisations directement dans un premier temps — elle cible vos employés individuellement. Un développeur senior dans votre équipe qui télécharge un "test technique" depuis un faux recruteur LinkedIn introduit une compromission dans votre SI sans que votre organisation soit délibérément visée. Vous devenez une cible par rebond.

Troisièmement, la sophistication de Lazarus signifie que les indicateurs de compromission classiques (signatures de malware, IP de C2 connues) sont souvent inutiles. Le groupe tourne régulièrement ses infrastructures, modifie ses outils, et adapte ses techniques aux signatures disponibles dans les bases de threat intelligence. Une organisation qui se repose uniquement sur des défenses basées sur des IOCs connus contre un groupe comme Lazarus se retrouve structurellement en retard.

Ce que j'observe en pratique dans les audits que je réalise : la majorité des organisations françaises de taille intermédiaire n'ont pas de processus de threat hunting. Elles attendent que les alertes arrivent plutôt que de chercher activement les signaux faibles. Contre Lazarus, cette posture passive est insuffisante.

Les cinq lacunes défensives que Lazarus exploite systématiquement

Après analyse des incidents attribués à Lazarus et des rapports publics disponibles, cinq lacunes défensives reviennent de façon systématique.

1. Délais de patch trop longs

La fenêtre entre la publication d'un correctif et son déploiement sur le parc est la variable clé. Pour CVE-2026-68820, Lazarus disposait vraisemblablement de l'exploit avant la publication du patch (zero-day), puis a continué à l'utiliser pendant la période de déploiement. Les organisations qui patchent dans les 7 jours réduisent considérablement leur exposition. Celles qui déploient en 30-90 jours laissent une fenêtre d'exploitation confortable. La BOD 26-04 de la CISA impose 14 jours pour les entrées KEV — c'est un bon benchmark, même sans obligation réglementaire.

2. Absence de procédure de vérification des recruteurs entrants

Aucune politique de sécurité ne devrait permettre à un employé d'exécuter du code reçu dans le cadre d'un processus de recrutement externe sur un poste connecté au SI d'entreprise. Les tests techniques, projets de développement et documents d'entretien doivent être ouverts dans des environnements sandboxés dédiés, déconnectés du réseau d'entreprise. Cette procédure est peu coûteuse à mettre en place (un poste virtuel dédié suffit) et extrêmement efficace contre Operation Dream Job.

3. EDR configuré en mode détection uniquement

Un EDR en mode "détection uniquement" donne à l'analyste SOC quelques minutes pour réagir avant que le dommage ne soit fait. Contre une exploitation kernel comme CVE-2026-68820 couplée à FudModule, qui désactive activement les mécanismes de journalisation, quelques minutes ne sont pas suffisantes. Le mode prévention doit être activé sur les postes sensibles, avec des exceptions documentées et révisées trimestriellement.

4. Surveillance insuffisante des téléchargements depuis les plateformes de recrutement

Surveiller les connexions des postes professionnels aux plateformes de recrutement permet de détecter des comportements inhabituels (volume élevé de messages, téléchargements depuis ces plateformes) sans accéder au contenu des conversations. Une alerte sur un téléchargement de fichier ZIP depuis LinkedIn sur le poste d'un ingénieur sécurité doit déclencher une vérification humaine. Cette surveillance, bien configurée, est proportionnée et efficace contre le vecteur initial d'Operation Dream Job.

5. Threat intelligence non opérationnalisée

Beaucoup d'organisations ont des abonnements à des flux de threat intelligence (MISP, ISAC sectoriels, plateformes commerciales) mais ne les intègrent pas dans leurs outils de détection. Les IoCs et TTPs publiés sur Lazarus/Dream Job par Check Point, ESET, Mandiant et CrowdStrike sont disponibles et régulièrement mis à jour. Ne pas les ingérer automatiquement dans son SIEM et son EDR, c'est payer pour de l'information qu'on n'utilise pas.

Ce que les 12 prochains mois vont changer — et pas changer

Lazarus ne va pas s'arrêter. Tant que les sanctions internationales contre la Corée du Nord resteront en place, le régime aura besoin de revenus alternatifs — et le cyberespace reste le vecteur le plus efficace disponible. Les estimations pour 2026 suggèrent une accélération de l'activité du groupe, notamment vers les secteurs crypto et fintech, et une sophistication croissante des techniques d'ingénierie sociale avec l'intégration d'outils IA génératives pour produire des leurres encore plus personnalisés.

En revanche, deux choses pourraient évoluer favorablement côté défense. Premièrement, la généralisation des outils de vérification d'identité numérique pour les processus de recrutement — LinkedIn et d'autres plateformes sont en train d'implémenter des vérifications d'identité plus robustes pour les comptes recruteurs. Ce n'est pas parfait, mais ça élève le coût d'entrée pour les faux profils. Deuxièmement, les solutions EDR et XDR de nouvelle génération commencent à intégrer nativement des règles comportementales spécifiques aux TTPs de Lazarus — ce qui devrait améliorer les taux de détection, à condition que les déploiements soient correctement configurés.

Ce qui ne changera pas : la fenêtre de vulnérabilité liée aux délais de patch. Tant que Microsoft publie 400 correctifs par mois et que les organisations peinent à les déployer en moins de 30 jours, Lazarus continuera à avoir une fenêtre d'exploitation confortable sur les zero-days les plus critiques.

Conclusion

CVE-2026-68820 et Operation Dream Job ne sont pas des événements isolés — ils sont la continuation logique d'une stratégie offensive qui existe depuis 2019 et qui continuera tant que ses conditions structurelles resteront en place. La bonne nouvelle : les défenses efficaces contre Lazarus ne nécessitent pas de budget extraordinaire. Patch management rigoureux, procédures RH adaptées aux risques cyber, EDR en mode prévention et threat intelligence opérationnalisée. Ce sont des fondamentaux — mais des fondamentaux qui, correctement appliqués, élèvent suffisamment le coût d'une compromission pour que Lazarus cherche des cibles plus faciles.

Et si vous voulez savoir où vous en êtes vraiment sur ces fondamentaux, je vous propose une conversation directe.