Der Hacker kommt als Recruiter: Wie „Operation Dream Job“ Unternehmen angreift

20. September 2026 12 Min. Lesezeit

Von Martin Pfeffer, Softwareentwickler und IT-Sicherheitsbeauftragter (ISO 27001)

IT-SecuritySocial EngineeringLazarusAwarenessCybersecurity

Der Hacker kommt als Recruiter: Wie „Operation Dream Job“ Unternehmen angreift

Eine Nachricht auf LinkedIn. Man sei auf Ihr Profil aufmerksam geworden und würde Sie gerne kennenlernen. Ein bekanntes Unternehmen, eine Position, die tatsächlich zu Ihrem Lebenslauf passt, ein Gehalt, über das sich reden lässt.

Es folgen ein paar Nachrichten mit einem Recruiter, vielleicht ein Telefonat. Der Ton ist professionell, die Rückfragen sind fachlich, der Kontakt zieht sich über Tage. Irgendwann kommt eine Datei: die ausführliche Stellenbeschreibung als PDF, eine Gehaltsübersicht, eine kleine Programmieraufgabe.

An dieser Stelle ist der Angriff unter Umständen schon ziemlich weit fortgeschritten.

Das ist, stark verkürzt, die Idee hinter „Operation Dream Job”.

Stand: September 2026. Bedrohungsanalysen in diesem Feld veralten schnell. Jede konkrete Aussage unten ist mit der verlinkten Veröffentlichung belegt; prüfen Sie den aktuellen Stand, bevor Sie Maßnahmen davon ableiten.

Was mit „Operation Dream Job” gemeint ist

Der Name stammt von der israelischen Sicherheitsfirma ClearSky, die die Kampagne im August 2020 öffentlich dokumentiert hat. ClearSky untersuchte die Vorgänge zwischen Juni und August 2020 und schreibt sie nach eigener Formulierung „mit hoher Wahrscheinlichkeit” Nordkorea zu, konkret der als Lazarus beziehungsweise HIDDEN COBRA geführten Gruppe. Nach ClearSkys Einschätzung waren mehrere Dutzend Unternehmen und Organisationen betroffen, in Israel und weltweit. Im Zentrum standen Rüstungs- und Regierungsunternehmen sowie einzelne, gezielt ausgewählte Mitarbeiter dieser Häuser.

Das Lockmittel war der titelgebende Traumjob. Die angeblichen Angebote kamen im Namen bekannter Rüstungs- und Luftfahrtkonzerne, ClearSky nennt unter anderem Boeing, Lockheed Martin und BAE. Dazu gehörten gefälschte LinkedIn-Profile, die Recruiter dieser Unternehmen nachbildeten, Mails an private Adressen der Zielpersonen und ein fortlaufender Dialog, teilweise per Telefon und über WhatsApp. Die Schadsoftware kam anschließend über drei dokumentierte Wege: über eine präparierte PDF-Datei samt manipuliertem Open-Source-PDF-Reader, über ein Word-Dokument mit Makro und über eine nachgeladene Dokumentvorlage im DOTM-Format.

Bemerkenswert ist das Ziel. ClearSky beschreibt eine Doppelmotivation aus Spionage und Diebstahl: Nach der Infektion sammelten die Angreifer Informationen über die Geschäftstätigkeit, suchten auf den Rechnern aber auch gezielt nach finanzbezogenen Begriffen. Diese Kombination aus Informationsbeschaffung und Geldbeschaffung gilt als typisch für nordkoreanische Akteure.

Zwei weitere Veröffentlichungen aus demselben Jahr gehören dazu, und hier lohnt der genaue Blick auf die Formulierungen. ESET beschrieb im Juni 2020 unter dem Namen „Operation In(ter)ception” Angriffe auf Luftfahrt- und Rüstungsunternehmen in Europa und im Nahen Osten. Die Kontaktaufnahme lief über LinkedIn-Profile, die Personalverantwortliche von Collins Aerospace und General Dynamics imitierten; verschickt wurde ein passwortgeschütztes Archiv mit einer LNK-Datei, die beim Öffnen ein Köder-PDF zum Gehalt anzeigte und im Hintergrund Persistenz einrichtete. ESET schreibt die Kampagne aber ausdrücklich nicht abschließend zu, sondern spricht von Hinweisen auf eine mögliche Verbindung zu Lazarus. McAfee wiederum dokumentierte im Juli 2020 unter dem Namen „Operation North Star” ein weiteres Szenario.

Drei Anbieter, drei Namen, unterschiedlich feste Zuschreibungen. Das ist kein Widerspruch, sondern der Normalfall in der Bedrohungsanalyse. Wer sauber arbeitet, gibt die Quelle mit an, statt eine Zuschreibung zur eigenen Gewissheit zu erklären.

Wie der Angriff abläuft

Die Kette ist über die Jahre erstaunlich stabil geblieben:

Auswahl der Zielperson. Kein Massenversand. Recherchiert wird, wer im Zielunternehmen fachlich passt und plausibel wechselwillig wäre.
Kontaktaufnahme über einen beruflichen Kanal. Ein Recruiter-Profil, oft dem eines echten Personalers nachgebaut.
Ein Angebot, das zur Person passt. Nicht übertrieben, sondern auf den Lebenslauf zugeschnitten.
Vertrauensaufbau über mehrere Kontakte. Nachrichten, Telefonate, ein Wechsel auf einen privateren Kanal wie WhatsApp.
Die Datei im richtigen Moment. Stellenbeschreibung, Gehaltsübersicht, Bewerbungsunterlage oder Aufgabe. Zu einem Zeitpunkt, an dem eine Datei erwartet wird.
Ausführung durch die Zielperson. Ein Dokument mit Makro, ein Archiv mit Verknüpfungsdatei, ein mitgeliefertes Programm.
Kompromittierung des Endgeräts. Persistenz, Nachladen weiterer Werkzeuge, Erkundung des Netzes.
Ausweitung auf Systeme und Daten. Ab hier ist es ein gewöhnlicher Einbruch, nur mit gültigem Startpunkt.

Die ersten fünf Schritte enthalten keine einzige technische Schwachstelle. Sie sind Vorbereitung.

Warum das funktioniert

Der interessante Punkt ist nicht die Schadsoftware. Der interessante Punkt ist der Kontext.

Wenn Ihnen jemand unaufgefordert eine ausführbare Datei schickt, ist das verdächtig, und die meisten Menschen in einem halbwegs geschulten Unternehmen reagieren richtig. Wenn dieselbe Datei nach zwei Wochen Kontakt, einem Telefonat und einer konkreten Stellenbeschreibung kommt, ist die Lage eine andere. Die Datei hat sich nicht verändert. Verändert hat sich, was die Zielperson über den Absender zu wissen glaubt.

Genau darin liegt die Arbeit des Angreifers. Er umgeht nicht nur technische Schutzmaßnahmen, sondern baut eine Situation, in der die gewünschte Handlung die naheliegende ist. Eine Bewerbung ist ein Vorgang, in dem der Austausch von Dateien dazugehört. Sie ist außerdem ein Vorgang, über den man am Arbeitsplatz nicht spricht, schon gar nicht mit der eigenen IT. Der Angriff findet damit in einem Bereich statt, in dem es keine Zweitmeinung gibt.

Dazu kommt der Zeitdruck, den ein Bewerbungsprozess ganz von selbst erzeugt. Wer eine Aufgabe „bis Freitag” zurückschicken soll, prüft weniger. Ein Angreifer muss diesen Druck nicht einmal erfinden, er ist Teil der Situation, die er nachstellt.

Dass ein Angriff ohne Exploit auskommt, ist übrigens kein Sonderfall. Ähnlich funktioniert Dumpster Diving, wo der Angreifer nicht die Firewall angeht, sondern das, was ungeschützt danebensteht.

Entwickler sind ein besonders interessantes Ziel

Hier ist eine saubere Trennung wichtig, weil zwei Dinge gern vermischt werden.

Dokumentiert für Operation Dream Job sind in erster Linie Köderdokumente und manipulierte Anwendungen. In der jüngsten von ESET beschriebenen Welle (Oktober 2025) waren es trojanisierte Open-Source-Programme, unter anderem ein TightVNC-Viewer, ein MuPDF-Reader sowie Plugins für WinMerge und Notepad++, die per DLL-Sideloading eine Hintertür nachluden. Betroffen waren drei europäische Rüstungsunternehmen, mehrere davon im Bereich unbemannter Luftfahrzeuge.

Nicht automatisch dokumentiert ist damit, dass Dream Job jede denkbare Entwickler-Technik eingesetzt hätte. Wer das behauptet, geht über die Quellen hinaus.

Trotzdem ist die Berufsgruppe aus Angreifersicht naheliegend, und zwar aus einem strukturellen Grund: Bei Entwicklern gehört zum Arbeitsalltag, was anderswo sofort auffallen würde. Ein Repository klonen. Abhängigkeiten installieren. Fremden Quellcode öffnen. Ein Build-Skript ausführen. npm install, pip install, cargo build, einen Container starten. Jeder dieser Schritte führt fremden Code auf einem Rechner aus, der üblicherweise Zugriff auf interne Registries, Repositories und Zugangsdaten hat.

Ein Angreifer kann also Handlungen verlangen, die in jedem anderen Kontext als absurd auffallen würden, und sie wirken hier wie eine normale fachliche Aufgabe.

Dass diese Sorge begründet ist, zeigt eine eigenständige, ebenfalls nordkoreanisch zugeordnete Aktivität, die ESET im Februar 2025 unter dem Namen „DeceptiveDevelopment” beschrieben hat. Ziel sind Softwareentwickler auf Windows, Linux und macOS, vor allem im Krypto- und DeFi-Umfeld. Die Kontaktaufnahme läuft über gefälschte Recruiter-Profile auf LinkedIn, Upwork, Freelancer.com und einschlägigen Jobbörsen, angeboten werden Einstellungsaufgaben oder Bugfix-Aufträge. Die Opfer erhalten präparierte Repositories auf GitHub, GitLab oder Bitbucket mit der Bitte, den Code herunterzuladen, zu ändern und auszuführen.

Das Detail, das diesen Fall lehrreich macht: Der Schadcode steckt laut ESET als eine einzige Zeile hinter einem langen Kommentar, weit rechts außerhalb des sichtbaren Editorbereichs. Ein Code-Review, das nur durch die Datei scrollt, findet ihn nicht. Dass fremder Code aus einem vertrauenswürdig wirkenden Bezugsweg ein reales Problem ist, war zuletzt auch im Skill-Store eines KI-Automatisierungswerkzeugs zu beobachten.

Dream Job und Contagious Interview sind nicht dasselbe

Beide Kampagnen nutzen Recruiting als Einstieg, und beide werden nordkoreanischen Akteuren zugeordnet. Gleichsetzen sollte man sie trotzdem nicht.

Palo Alto Networks Unit 42 hat „Contagious Interview” im November 2023 beschrieben. Dort geben sich die Angreifer als Arbeitgeber aus, laden Entwickler zu Online-Interviews und bitten sie währenddessen, ein npm-Paket von GitHub zu installieren. Es folgen BeaverTail, ein Infostealer und Loader in JavaScript, und darüber InvisibleFerret, eine Python-Hintertür. Als Ziel nennt Unit 42 Kryptodiebstahl und die Nutzung der übernommenen Systeme als Sprungbrett. Die Zuschreibung erfolgt dabei ausdrücklich mit „mittlerer Zuversicht” an einen nordkoreanischen staatlichen Akteur.

	Operation Dream Job	Contagious Interview
Erstdokumentation	ClearSky, August 2020	Unit 42, November 2023
Zuschreibung	Lazarus, je nach Anbieter unterschiedlich fest	nordkoreanisch, MITRE führt es getrennt von Lazarus
Primäre Ziele	Rüstung, Luft- und Raumfahrt, Behörden	Softwareentwickler, Krypto- und Web3-Umfeld
Typischer Köder	Stellenangebot bekannter Konzerne	Interview mit Programmieraufgabe
Erkennbares Motiv	Spionage, ergänzt um Finanzdiebstahl	überwiegend Kryptodiebstahl

Auch die Namensvielfalt gehört zur Wahrheit: MITRE ATT&CK führt Contagious Interview als eigene Gruppe G1052 und nennt dort DeceptiveDevelopment, Gwisin Gang, Tenacious Pungsan, DEV#POPPER, PurpleBravo und TAG-121 als Aliase. Von Lazarus (G0032) wird die Gruppe getrennt geführt. ESET wiederum ordnet DeceptiveDevelopment mit hoher Zuversicht Nordkorea zu, schreibt es aber keiner bekannten Gruppe zu und verweist lediglich auf Ähnlichkeiten zu Lazarus-Kampagnen.

Wer diese Unterschiede einebnet, macht aus mehreren belegten Beobachtungen eine unbelegte Geschichte.

Das Problem ist nicht LinkedIn

Die naheliegende Schlussfolgerung wäre: keine Dateien von Recruitern öffnen. Das greift zu kurz, und zwar aus einem technischen Grund.

LinkedIn ist in dieser Angriffskette nur der Ort der ersten Nachricht. Nichts an dem Angriff hängt an der Plattform. Dokumentiert sind bereits Kontaktaufnahmen per Mail an private Adressen, Fortsetzungen über WhatsApp und Telefonate. Mandiant beschrieb am 14. September 2022 einen Fall, in dem der Kontakt per Mail mit einem angeblichen Amazon-Jobangebot begann, über WhatsApp weiterlief und in einer Datei namens amazon_assessment.iso mündete. Darin steckte eine manipulierte Fassung des SSH-Clients PuTTY, die die Hintertür AIRDRY.V2 nachlud. Mandiant führt den Akteur als UNC4034, spricht von Überschneidungen mit Gruppen, bei denen ein Nordkorea-Bezug vermutet wird, und hält den Vorgang für eine Fortsetzung der Dream-Job-Kampagnen mit einer anderen Angriffskette: ISO-Dateien und manipulierte Programme statt präparierter Dokumente.

Der Kanal ist austauschbar. Genauso gut funktionieren Recruiting-Plattformen, Freelance-Marktplätze, ein Repository, ein Videocall, eine Projektanfrage per Mail. Was den Angriff trägt, ist der aufgebaute Kontext, nicht das Medium, über das er transportiert wird.

Daraus folgt eine unbequeme Konsequenz für die Awareness-Arbeit. Eine Regel, die den Kanal benennt, ist nur so lange wirksam, bis der Angreifer den Kanal wechselt. Eine Regel, die die Handlung benennt, hält länger: Fremden Code oder fremde Dateien aus einem privaten Kontakt führe ich nicht auf einem Gerät aus, das Zugang zu Unternehmensressourcen hat.

Was Unternehmen daraus mitnehmen können

Der zentrale Gedanke ist nicht, dass Mitarbeiter aufmerksamer werden müssen. Er lautet: Technische Schutzmaßnahmen sollten nicht voraussetzen, dass niemand jemals einen Fehler macht. Sie sollten verhindern, dass ein einzelner Fehler unmittelbar zur vollständigen Kompromittierung führt.

Konkret heißt das:

Awareness, die den Fall beschreibt, nicht die Plattform. Ein Beispiel wie dieses funktioniert in einer Schulung besser als jede Verbotsliste, weil es zeigt, wie lange der Vorgang harmlos aussieht. Der Satz „Wenn Sie beruflich angesprochen werden und daraus eine Datei entsteht, ist das ein Prüffall” überlebt einen Kanalwechsel.
Getrennte privilegierte Konten. Wer administrativ arbeitet, tut das nicht mit demselben Konto, mit dem er Mails liest. Das ist alt, unbequem und weiterhin eine der wirksamsten Einzelmaßnahmen.
Least Privilege, auch für Entwickler. Der Rechner, auf dem eine fremde Coding Challenge läuft, braucht keinen stehenden Zugriff auf Produktionssysteme, interne Registries und Secrets.
Isolierte Umgebungen für unbekannten Code. Eine VM oder ein Container, der nach dem Termin verworfen wird. Ein Repository aus einem Bewerbungsprozess darf nicht dieselbe Vertrauensstellung bekommen wie interner Code, und zwar unabhängig davon, wie professionell die Gegenseite auftritt.
Application Control auf Endgeräten. Der DLL-Sideloading-Weg aus der ESET-Analyse lebt davon, dass neben einer legitimen ausführbaren Datei eine mitgelieferte Bibliothek geladen wird. Wo nur freigegebene Programme aus freigegebenen Pfaden starten dürfen, wird das schwieriger.
Endpoint Detection mit jemandem, der hinschaut. Die relevanten Signale entstehen nach der Ausführung: ein geplanter Task, eine ungewöhnliche ausgehende Verbindung, ein Prozess, der Anmeldedaten liest. Ein Werkzeug, dessen Meldungen niemand liest, erzeugt nur Archiv.
Netzwerksegmentierung. Sie entscheidet darüber, ob ein übernommener Arbeitsplatz ein Arbeitsplatz bleibt oder ein Ausgangspunkt wird.
Phishing-resistente Anmeldung. Ein zweiter Faktor verhindert diesen Erstzugriff nicht, begrenzt aber, was mit abgegriffenen Zugangsdaten anschließend möglich ist. Zur Einordnung der Verfahren: Multi-Faktor-Authentifizierung.

Ein nützlicher Prüfsatz für Entwicklerteams: Würde dieser Code auf diesem Rechner laufen dürfen, wenn er als E-Mail-Anhang von einer unbekannten Adresse gekommen wäre? Falls nein, hat der Bewerbungsprozess nichts daran geändert, sondern nur das Gefühl dazu.

Wenn Sie den Stand im eigenen Haus nicht sicher einschätzen können, ist das der eigentliche Befund. Ich unterstütze Unternehmen bei genau diesen Fragen, von der technischen Sicherheitsanalyse bis zu Awareness-Schulungen mit Wissenscheck; die Formate stehen unter Assessments & Schulungen.

Aktualität

Operation Dream Job ist keine abgeschlossene Geschichte aus dem Jahr 2020.

ESET beschrieb im Oktober 2025 eine Welle, die zwischen Ende März und August 2025 drei europäische Rüstungsunternehmen traf, darunter einen Hersteller von Flugzeugkomponenten und einen Metallverarbeiter. Auffällig war der Schwerpunkt auf unbemannter Luftfahrt, den ESET mit dem Aufbau des nordkoreanischen Drohnenprogramms in Verbindung bringt.

Deutlich jünger ist die Analyse von Check Point Research vom 11. August 2026. Beschrieben wird eine Welle von Anfang 2026 bis Juli 2026 gegen den Rüstungssektor mit Schwerpunkt auf Luft- und Raumfahrt, überwiegend in Europa, darunter Frankreich und Deutschland, sowie Indien. Der Einstieg blieb das Jobangebot, geliefert als verschlüsseltes ZIP-Archiv mit einem PDF-Viewer und einer per Sideloading geladenen Bibliothek. Neu ist, was danach kam: ein Exploit für CVE-2026-68820, eine Use-after-free-Schwachstelle im Windows-Treiber AFD.sys, die lokale Rechteausweitung erlaubt. Die Lücke ist beim NIST als „Analyzed” geführt und wurde am Tag der Check-Point-Analyse veröffentlicht. Über das Kernel-Rootkit FudModule verschafften sich die Angreifer damit SYSTEM-Rechte und schalteten die Sichtbarkeit für Endpoint-Schutz ab.

Diese Kombination ist der eigentliche Punkt für 2026: Der Einstieg bleibt eine Unterhaltung über einen Job, die Fortsetzung ist ein Zero-Day im Kernel.

Fazit

Ein erfolgreicher Cyberangriff muss nicht wie ein Cyberangriff aussehen. Manchmal sieht er aus wie eine ziemlich gute berufliche Gelegenheit.

Deshalb führt die Frage „Wie erkenne ich die böse Datei?” in die Irre. Die Datei ist der letzte Schritt, und bis dahin hat der Angreifer alles dafür getan, dass sie erwartet wird. Die belastbarere Frage lautet: Was passiert in unserem Haus, wenn genau das einmal klappt? Wer darauf eine konkrete Antwort hat, hat das Problem verstanden. Wer darauf antwortet, dass die Mitarbeiter geschult sind, hat es an die falsche Stelle verschoben.

Quellen

Weiterlesen

Alle Beiträge aus IT-Sicherheit