Wprowadzenie do problemu / definicja kampanii
Badacze ESET opisali nową odsłonę operacji szpiegowskiej Operation DreamJob przypisywanej grupie Lazarus powiązanej z Koreą Północną. Od końca marca 2025 r. atakujący sukcesywnie zaatakowali trzy firmy z branży obronnej w Europie Środkowej i Południowo-Wschodniej, z czego co najmniej dwie są silnie związane z technologiami UAV (drony). Cel: kradzież własności intelektualnej i know-how produkcyjnego. Główne narzędzie na etapie post-exploitation to RAT ScoringMathTea.
Informacje te potwierdzają także serwisy branżowe, które podkreślają związek kampanii z rozwojem programu dronowego w KRLD oraz wykorzystanie fałszywych ofert pracy jako wektora wejścia.
W skrócie
- Cel: szpiegostwo przemysłowe dotyczące dronów (UAV), komponentów i oprogramowania.
- Ofiary: 3 firmy obronne (metalurgia, producent części lotniczych, firma obronna).
- Wejście: socjotechnika „DreamJob” – rekruter + spreparowana dokumentacja / czytnik PDF.
- Łańcuch infekcji: trojanizowane projekty OSS (np. MuPDF, wtyczki Notepad++/WinMerge, TightVNC, libpcre, DirectX), DLL sideloading, ładowanie w pamięci (MemoryModule-style).
- Payload: ScoringMathTea RAT (~40 komend), C2 na skompromitowanych serwerach (często w katalogach WordPress).
- Artefakt: dropppery z wewnętrzną nazwą DroneEXEHijackingLoader.dll (wskazówka na fokus „drone”).
- Szerszy obraz: stała, ewolucyjna zmiana bibliotek do DLL proxying i dobór nowych projektów OSS do trojanizacji.
Kontekst / historia / powiązania
Operation DreamJob to długoletnia taktyka Lazarusa oparta na latach udanych kampanii z wabikami rekrutacyjnymi; nakłada się z wcześniej opisywanymi operacjami (np. North Star, DeathNote). Motywacja Lazarusa obejmuje szpiegostwo, sabotaż i zysk finansowy, ale w tej fali dominuje espionage na rzecz rozwoju zdolności wojskowych KRLD (m.in. drony). W artykule ESET wskazano również kontekst wojny Rosja–Ukraina i doniesień o przyspieszeniu programu UAV w KRLD.
Analiza techniczna / szczegóły kampanii
Wektor wejścia i initial access
- Kontakt „rekrutera”, dokument z opisem stanowiska i trojanizowany czytnik PDF do jego otwarcia.
- Alternatywnie – zachęta do pobrania „przydatnej” wtyczki/oprogramowania OSS z dołączonym loaderem.
Łańcuch infekcji (przykładowy)
- Uruchomienie trojanizowanej aplikacji/plugina (MuPDF, Notepad++/WinMerge plugin, TightVNC, libpcre, DirectX wrapper).
- DLL sideloading / proxying – złośliwy DLL ładowany przez zaufany proces.
- Loader decrypts & reflectively loads payload w pamięci (MemoryModule-style).
- Dostarczenie ScoringMathTea RAT lub BinMergeLoader (MISTPEN) – ten drugi potrafi nadużywać Microsoft Graph API i tokenów do pozyskiwania dalszych ładunków.
ScoringMathTea RAT
- ~40 poleceń: zarządzanie plikami/procesami, recon, wymiana konfiguracji, otwieranie połączeń TCP, pobieranie/uruchamianie kolejnych modułów.
- C2 często na skompromitowanych serwerach www, ukryty w folderach WordPress (motywy/wtyczki).
- Obserwowany w atakach od 2022/2023 r., m.in. na firmy w PL (obrona), UK (automatyka), IT (aerospace), co potwierdza, iż to „flagowy” ładunek DreamJob.
Artefakty i telemetry
- Wspólna wewnętrzna nazwa DLL: DroneEXEHijackingLoader.dll.
- Zgłoszenia do VirusTotal (IT, ES) z próbkami trojanizowanych komponentów (np. MuPDF, dinput.dll).
Praktyczne konsekwencje / ryzyko
- Utrata IP (projekty, BOM, procesy technologiczne, sterowanie, algorytmy kontroli lotu).
- Ryzyko supply-chain – trojanizowane biblioteki OSS w toolchainie inżynierskim.
- Eskalacja geopolityczna – wykorzystanie wycieków do rozwoju programów zbrojeniowych KRLD i eksportu uzbrojenia.
- Trwałość operacji – stabilny TTP (DLL sideloading + OSS trojanizacja) + niska widoczność (reflective loading).
Rekomendacje operacyjne / co zrobić teraz
Dla SOC/IR
- Hunting TTP-based:
- Wzorce DLL sideloading (nieoczekiwane biblioteki przy zaufanych EXE, anomalie w LoadLibrary),
- Reflective loader artefakty w pamięci, nietypowe sekcje PE, brak na dysku,
- Nienaturalne wywołania Graph API/tokeny z hostów użytkowników.
- Network:
- Wykrywanie C2 w katalogach WordPress (ścieżki /wp-content/themes/, /plugins/ używane nienormalnie),
- Egress deny-by-default + TLS inspection dla ruchu do rzadkich hostów,
- Blokada nietypowych TCP beacons z aplikacji biurowych.
- EDR/OS hardening:
- Windows Defender Application Control / WDAC lub AppLocker do whitelisting’u binarek i DLL,
- PreferSecureLibraryLoading / Safe DLL Search Mode i blokady znanych ścieżek sideloadingu,
- ASR rules (blokowanie ładowania DLL z katalogów użytkownika/temp). (Dobre praktyki branżowe w kontekście DLL sideloading).
- OSS hygiene:
- Mirror / hash-pinning dla MuPDF, Notepad++/WinMerge plugins, TightVNC, libpcre itp.; pobrania tylko z verified release z podpisem,
- SBOM i skan integralności w CI/CD narzędzi inżynierskich,
- Blokada uruchamiania niepodpisanych plug-inów.
- Identity & SaaS:
- MFA odporne na phishing (FIDO2),
- Monitorowanie rzadkich grantów i uprawnień Microsoft Graph oraz tworzenia ukrytych rejestracji aplikacji.
- User awareness / proces HR:
- Procedura „oddzielne środowisko” do otwierania dokumentów rekrutacyjnych (sandbox/VDI),
- Weryfikacja rekruterów (domena, DKIM/DMARC, kontakt przez oficjalny portal),
- Zakaz instalacji „czytników” przysłanych przez osoby trzecie.
ESET opublikował IoC (domeny, skróty binarek) do tej fali – włącz je do SIEM/EDR i feedów blokujących.
Różnice / porównania z innymi przypadkami
- Konsekwencja zamiast rewolucji: ScoringMathTea od 2022/2023 r. zmienił się nieznacznie – Lazarus stawia na stabilny, wystarczający zestaw funkcji, a polimorfizm przenosi do warstwy dropperów/loaderów.
- Nowe biblioteki do proxy’owania DLL i dobór mniej popularnych projektów OSS do trojanizacji zwiększają evasiveness przy zachowaniu tego samego „silnika” C2.
- Fokus sektorowy: wcześniejsze DreamJob częściej celowały w krypto/IT; w tej chwili nacisk na UAV i łańcuch dostaw obronności.
Podsumowanie / najważniejsze wnioski
Lazarus nie musi przeprojektowywać narzędzi – wystarczy zmieniać nośniki (OSS, wtyczki) i utrzymywać presję socjotechniczną. Organizacje z sektora obronnego, szczególnie UAV, powinny przenieść kontrolę z samej detekcji plików na TTP-first detection & hardening (DLL sideloading, reflective loading, Graph API abuse) oraz uszczelnić procesy HR.
Źródła / bibliografia
- ESET Research – „Gotta fly: Lazarus targets the UAV sector” (23.10.2025). Najpełniejsza analiza techniczna i kontekst. (welivesecurity.com)
- ESET Newsroom – komunikat prasowy z kluczowymi tezami i timeline. (ESET)
- BleepingComputer – omówienie łańcuchów ataku, OSS i IoC. (BleepingComputer)
- CyberScoop – streszczenie z akcentem na motywację i artefakt „DroneEXEHijackingLoader.dll”. (CyberScoop)
- Dark Reading – komentarz o stabilności ScoringMathTea i ewolucji DLL proxying. (Dark Reading)
