Lazarus 被曝利用 Windows 零日漏洞攻击国防企业，Operation Dream Job 再现定向风险
据 BleepingComputer 2026 年 8 月 12 日发布的消息，朝鲜背景黑客组织 Lazarus 被曝正在利用一个 Windows 零日漏洞 CVE-2026-68820，针对国防领域企业发动攻击。来源显示，这一活动被归入 Operation Dream Job 相关攻击链，攻击目标集中在防务行业公司。由于漏洞在被利用时属于零日状态，意味着受害方在攻击发生阶段可能尚无成熟补丁或已知防护规则可依赖，相关风险对高价值企业和其上下游协作方都值得警惕。
事件要点：零日漏洞与定向攻击叠加
从来源信息看，本次事件的核心并不是普通的大规模扫描，而是由具备持续攻击能力的黑客组织围绕特定行业展开的定向行动。Lazarus 长期被安全社区视为高活跃度威胁行为体，其活动往往与间谍、供应链渗透、凭据窃取或对关键行业的长期潜伏有关。此次被披露的 CVE-2026-68820 属于 Windows 零日漏洞，攻击者利用其针对国防企业展开行动，使事件具备更高的敏感性。
Operation Dream Job 这一名称通常与以职业机会、招聘沟通或工作诱饵为切入点的攻击思路相关。虽然来源摘要未披露本次攻击的完整技术细节，但其被归入该行动，说明攻击者可能仍在围绕人员信任链、企业办公终端和身份访问路径寻找突破口。
- 攻击方：据报道为朝鲜黑客组织 Lazarus。
- 被利用漏洞：Windows 零日漏洞 CVE-2026-68820。
- 目标行业：国防领域公司。
- 关联活动：Operation Dream Job 攻击 campaign。
对企业与 VPN 用户的影响：边界防护不等于终端安全
对 VPN 用户和企业远程办公场景而言，这类事件再次说明：VPN 只能保护网络传输链路和访问入口的一部分，无法替代终端补丁、身份安全和反钓鱼机制。若攻击者通过零日漏洞或社工诱饵先控制员工设备，即便企业使用了加密连接，受感染终端仍可能成为进入内部资源的跳板。
国防企业通常拥有更严格的内网分区和访问控制，但攻击者选择这类目标，恰恰说明其更重视长期潜伏和高价值信息获取。对普通组织而言，真正的启示是：不要把安全边界只理解为“是否连上 VPN”。远程接入应与设备健康检查、多因素认证、最小权限、日志审计和异常行为检测同时使用。
隐私与远程访问建议
面对零日攻击，个人用户很难提前识别所有风险，但仍可以通过降低暴露面来减少损失。企业用户则应重点关注 Windows 终端资产、远程访问账号、邮件与招聘相关沟通渠道的异常行为。对于需要在公共网络或跨地区环境中访问公司资源的用户，可信的加密通道仍是基础措施之一；例如 RedGate VPN 可作为保护传输隐私的可选方案，但它应与终端安全策略配合使用，而不是被视为万能防护。
- 及时关注系统厂商与安全机构发布的补丁和缓解建议。
- 避免在工作设备上打开来源不明的招聘、简历、项目合作类文件。
- 为远程访问启用多因素认证，并限制账号权限范围。
- 对 VPN 登录、异常地理位置访问和短时间多次失败登录进行审计。
- 将敏感业务系统与普通办公终端进行隔离，降低横向移动风险。
解读：高价值行业攻击会外溢到供应链
此次披露的目标是国防企业，但风险并不止于大型防务公司。任何为其提供软件、咨询、硬件、招聘、人力资源或外包服务的组织，都可能成为间接入口。攻击者若无法直接突破核心目标，往往会转向安全能力较弱的合作方。因此，中小型供应商也应把零日利用和社工攻击纳入威胁模型。
总体来看，CVE-2026-68820 被用于定向攻击表明，零日漏洞、身份诱导和远程办公环境正在形成更复杂的攻击组合。对用户而言，隐私保护不是单一工具能完成的任务，而是从设备、账号、网络到行为习惯的连续防线。