ESET deteta nova ofensiva do grupo Lazarus contra o setor de defesa europeu

Um MQ-9 Reaper britânico em 2009.

 Nova campanha de espionagem cibernética da Coreia do Norte aponta à indústria europeia de UAVs, segundo a ESET.

Um grupo de cibercriminosos norte-coreano voltou a direcionar os seus ataques à indústria europeia de defesa, com especial foco em empresas que desenvolvem tecnologia para veículos aéreos não tripulados. A operação, atribuída ao grupo Lazarus, representa mais uma ofensiva associada à chamada Operation DreamJob, uma campanha sustentada em técnicas de engenharia social e disfarçada sob ofertas de emprego falsas.

A ESET, empresa europeia de cibersegurança que tem acompanhado de perto a atividade do Lazarus, revelou que os ataques recentes visaram três empresas da Europa Central e do Sudeste, todas com ligações ao setor da defesa. Algumas destas organizações produzem componentes atualmente utilizados na Ucrânia, no contexto do apoio militar europeu ao país. A intrusão inicial terá sido obtida através de engenharia social, e o malware principal implantado foi o ScoringMathTea, um trojan de acesso remoto capaz de conceder controlo total sobre o sistema comprometido. O objetivo mais provável seria o roubo de informação confidencial e de know-how técnico.

A Operation DreamJob baseia-se em ofertas de emprego falsas para atrair as vítimas: os alvos recebem um documento aparentemente legítimo, acompanhado por um leitor de PDF infetado com malware. Esta abordagem tem sido uma constante nas campanhas do Lazarus, que historicamente se foca nos setores aeroespacial, de defesa e de engenharia. As ligações entre as empresas atingidas e a produção de drones sugerem uma conexão direta com os esforços da Coreia do Norte para expandir as suas capacidades nesta área.

Os investigadores da ESET identificaram uma das entidades atacadas como fabricante de dois modelos de drones atualmente em uso na Ucrânia, bem como participante na cadeia de fornecimento de aeronaves de rotor único, um tipo de UAV que Pyongyang tem procurado desenvolver internamente. Esta coincidência reforça a hipótese de que o grupo tenha procurado aceder a informações sobre tecnologia ocidental aplicada a sistemas de drones e outros equipamentos militares.

O grupo Lazarus, ativo desde pelo menos 2009 e também conhecido como HIDDEN COBRA, é amplamente reconhecido pelas suas operações de ciberespionagem, sabotagem e ataques financeiros. A sua estrutura complexa e a frequência com que altera as ferramentas utilizadas dificultam a deteção, apesar de manter um padrão relativamente consistente. Nos ataques mais recentes, o grupo continuou a incorporar código malicioso em projetos de código aberto disponíveis no GitHub, reforçando a capacidade de evasão e a dificuldade de rastreamento.

O ScoringMathTea, identificado pela primeira vez em 2022 em amostras associadas a falsas ofertas de emprego da Airbus, suporta cerca de quarenta comandos e é capaz de manipular ficheiros, executar processos, recolher dados do sistema e descarregar novas cargas de malware. Desde então, tem sido utilizado em múltiplas campanhas, desde empresas de tecnologia na Índia e de defesa na Polónia até companhias britânicas e italianas de automação e aeronáutica.

Segundo os investigadores da ESET, o grupo mantém uma estratégia previsível, mas eficaz: a repetição de técnicas conhecidas, combinada com pequenas variações no código e novas bibliotecas de execução, tem permitido ao Lazarus manter-se ativo e relevante no panorama global de ciberameaças. A persistência dos ataques e o foco crescente na indústria de drones europeia sugerem que Pyongyang continua a apostar na espionagem tecnológica como meio de sustentar o avanço do seu próprio programa militar.

ESET deteta nova ofensiva do grupo Lazarus contra o setor de defesa europeu