Digital Inside
Três empresas de defesa europeias ligadas à produção de drones foram alvo de um ataque informático atribuído ao grupo Lazarus, com ligações à Coreia do Norte. A operação maliciosa, identificada pela ESET como parte da campanha DreamJob, usou técnicas de engenharia social, documentos PDF manipulados e código malicioso inserido em projetos de código aberto para aceder a informação sensível e obter controlo remoto sobre os sistemas das vítimas.
O objetivo principal era o roubo de dados industriais confidenciais relacionados com veículos aéreos não tripulados (UAV). A ESET confirma que as entidades visadas estão envolvidas no fabrico de componentes atualmente utilizados em sistemas de armamento ocidentais ativos no conflito da Ucrânia, e que uma delas produz drones de rotor único – um modelo de UAV que está também a ser desenvolvido por Pyongyang.
Engenharia social e acesso remoto
A campanha utilizou falsas ofertas de emprego como isco, dirigidas a funcionários das empresas-alvo. Os atacantes enviavam propostas tentadoras, acompanhadas por documentos PDF infetados e leitores manipulados, que permitiam a execução do malware. Esta abordagem, segundo a ESET, já tinha sido observada anteriormente noutras ações atribuídas ao mesmo grupo.
O malware utilizado foi o ScoringMathTea, um trojan de acesso remoto (RAT) capaz de executar cerca de 40 comandos distintos. Esta ferramenta permite aos atacantes aceder, copiar ou modificar ficheiros, instalar mais software malicioso e movimentar-se lateralmente dentro da rede, abrindo caminho para comprometer sistemas críticos.
Segundo os investigadores da ESET, esta variante do ScoringMathTea já tinha sido observada em campanhas anteriores, com deteções em organizações tecnológicas e de defesa em vários países europeus e na Índia entre 2023 e 2025.
Foco em drones e ligação ao conflito na Ucrânia
As empresas visadas operam na Europa Central e do Sudeste e têm ligações diretas ao fabrico de UAVs atualmente utilizados na Ucrânia. A ESET encontrou referências explícitas a drones em pelo menos um dos droppers usados na campanha, reforçando a hipótese de que o objetivo principal seria a obtenção de informações técnicas sobre este tipo de tecnologia.
A ação decorreu num contexto geopolítico sensível. A Coreia do Norte tem colaborado com a Rússia no conflito contra a Ucrânia, incluindo presença de efetivos na região de Kursk. A ESET considera plausível que a campanha visasse obter conhecimento sobre os sistemas de armamento ocidentais fornecidos como parte da ajuda europeia.
Há também indícios de que Pyongyang procura replicar ou melhorar tecnologia UAV com base em modelos ocidentais. O acesso a detalhes técnicos através deste tipo de ataque cibernético poderá acelerar os seus próprios projetos militares.
Disfarce em código aberto e evolução do malware
O grupo Lazarus introduziu uma evolução na sua técnica de infeção. Parte do código malicioso foi integrado em projetos de código aberto publicados no GitHub, dificultando a sua deteção ao ser camuflado como software legítimo. Esta abordagem permite contornar sistemas de segurança baseados em assinaturas e atrasar a resposta das equipas de cibersegurança.
O ScoringMathTea apresenta capacidades avançadas, incluindo manipulação de ficheiros e processos, recolha de informações detalhadas sobre o sistema infetado, abertura de ligações remotas e execução de comandos ou descarregamento de novas cargas maliciosas. As versões mais recentes incluem mecanismos de substituição de bibliotecas (DLL proxy) e maior sofisticação na forma como se ocultam dentro de código legítimo.
A ESET já tinha identificado em 2023 uma campanha semelhante contra uma empresa aeroespacial espanhola. Segundo os investigadores, essas ações anteriores serviram de base técnica e operacional para os ataques mais recentes.
