Segundo os investigadores, esta operação visou várias empresas europeias ligadas à indústria de defesa, incluindo entidades envolvidas na produção de veículos aéreos não tripulados (UAVs), o que sugere uma tentativa de reforçar o programa de drones norte-coreano através do roubo de propriedade intelectual e know-how de fabrico.
Os ataques confirmados ocorreram em empresas localizadas na Europa Central e do Sudeste, e terão começado através de técnicas de engenharia social, com falsos anúncios de emprego usados como isco. O ficheiro malicioso continha um trojan de acesso remoto designado ScoringMathTea, capaz de oferecer controlo total do sistema comprometido, permitindo aos cibercriminosos extrair informações confidenciais e dados técnicos críticos.
De acordo com os especialistas da ESET, Peter Kálnai e Alexis Rapin, uma das empresas visadas fabrica drones atualmente utilizados na guerra da Ucrânia, o que levanta a hipótese de que o Lazarus esteja interessado em sistemas de armamento ocidentais. A Coreia do Norte tem sido apontada como fortemente dependente da engenharia reversa e do roubo de tecnologia estrangeira para impulsionar as suas capacidades militares internas, especialmente na área dos UAVs.
Os investigadores identificaram ainda que o grupo norte-coreano tem vindo a utilizar projetos de código aberto do GitHub para ocultar as suas rotinas de carregamento malicioso, num esforço para dificultar a deteção pelos sistemas de segurança. O ScoringMathTea, a principal payload da operação, já foi detetado em ataques anteriores contra empresas de tecnologia e defesa na Índia, Polónia, Reino Unido e Itália, o que demonstra o seu papel central nas campanhas DreamJob.
O Lazarus Group, também conhecido como HIDDEN COBRA, atua desde 2009 e é um dos grupos APT (ameaças persistentes avançadas) mais ativos do mundo. Responsável por ataques de ciberespionagem, sabotagem e crimes financeiros, tem mantido uma abordagem consistente ao longo dos últimos anos, com pequenas variações destinadas a evitar a deteção um equilíbrio entre previsibilidade e sofisticação que continua a desafiar os investigadores de segurança.
A ESET sublinha que estas novas evidências reforçam a necessidade de as empresas europeias, especialmente do setor de defesa e aeroespacial, adotarem políticas rigorosas de validação de comunicações e ofertas de emprego, de forma a mitigar o risco de campanhas de engenharia social como a Operação DreamJob, que continua a evoluir e a representar uma ameaça concreta à segurança industrial global.
