Lazarus ha colpito alcune compagnie europee del settore della difesa
Una recente analisi di ESET riporta che il gruppo nord-coreano Lazarus ha colpito alcune compagnie dell’Europa centrale e sudorientale del settore della difesa, molte delle quali attive nella produzione di droni.
I ricercatori spiegano che si tratta di una nuova istanza di DreamJob, una campagna già nota che si è ripresentata negli ultimi tempi. Gli attacchi hanno colpito con successo tre compagnie.
Secondo ESET, l’accesso iniziale ai sistemi delle vittime è avvenuto quasi certamente tramite tecniche disocial engineering. In seguito, il gruppo ha distribuito ScoringMathTea, un RAT che consente agli attaccanti di prendere il controllo completo del sistema colpito.
Il modus operandi è quello già ampiamente conosciuto di Lazarus: le vittime, dipendenti delle aziende obiettivo, vengono contattati per delle offerte di lavoro. Gli attaccanti, fingendosi dei recruiter, condividono con i dipendenti dei documenti contenenti non solo i dettagli sulla falsa offerta di lavoro, ma anche il payload del malware.
Il trojan distribuito da Lazarus appare molto complesso, in grado di gestire circa 40 comandi diversi. Apparso per la prima volta nel 2022, l RAT consente di manipolare processi e file, modificare le configurazioni di sistema, raccogliere informazioni sul sistema operativo della vittima, aprire una connessione TCP ed eseguire payload scaricati dal server C2.
L’obiettivo della campagna è molto probabilmente l’esfiltrazione di informazioni sensibili per supportare lo sviluppo di droni in Corea del Nord. “Riteniamo probabile che l’operazione DreamJob fosse finalizzata, almeno in parte, al furto di informazioni riservate e know-how produttivo relativi agli UAV. Il riferimento ai droni osservato in uno dei dropper rafforza significativamente questa ipotesi” ha affermato Peter Kálnai, ricercatore ESET che ha scoperto e analizzato la nuova istanza di DreamJob.
ESET sottolinea però che, visto che il gruppo ha agito mentre i soldati nord-coreani si trovavano in Russia per supportare le milizie alleate, è possibile che DreamJob sia anche un modo per raccogliere informazioni su armi e droni usate attualmente nel conflitto.
La campagna risulta ancora in atto.
Altro in questa categoria