Espionnage : Lazarus cible la défense européenne avec de fausses offres d’emploi

brève actu

Les hackers nord-coréens ont compromis trois entreprises européennes pour exfiltrer des informations sur les technologies de drones militaires.

L’APT nord-coréen Lazarus a récemment mené une campagne sophistiquée, nommée Operation DreamJob, visant trois entreprises européennes du secteur de la défense. En exploitant des offres d’emploi fictives, les hackers ont ciblé des employés travaillant sur des technologies de véhicules aériens sans pilote (UAV). Cette opération, active depuis 2020, souligne les efforts continus de la Corée du Nord pour renforcer son programme de drones, en s’appuyant sur des techniques d’ingénierie sociale et d’espionnage industriel.

Les objectifs stratégiques derrière l’Operation DreamJob

L’Operation DreamJob a permis à Lazarus de s’introduire dans les systèmes de trois entreprises européennes, spécialisées dans la production d’équipements utilisés en Ukraine. Les hackers ont utilisé des offres d’emploi truquées, intégrant des fichiers PDF infectés, pour déployer le logiciel malveillant ScoringMathTea RAT. Ce programme offre aux attaquants un contrôle total sur les systèmes compromis, leur permettant de manipuler des fichiers, d’exécuter des commandes à distance et d’exfiltrer des données sensibles. Selon BleepingComputer, ces attaques visaient principalement à obtenir des informations sur les technologies UAV, cruciales pour le développement des drones nord-coréens, qui s’inspirent fortement de modèles occidentaux.

La campagne de Lazarus s’inscrit dans une stratégie plus large de cyberespionnage, visant à voler des conceptions et des savoir-faire pour la construction de drones. Comme le rapporte SecurityAffairs, la Corée du Nord s’appuie sur le reverse engineering pour développer ses drones qui imitent des modèles américains. L’Operation DreamJob a probablement visé à collecter des données propriétaires sur les UAV occidentaux, contribuant ainsi à l’expansion du programme de drones de Pyongyang. En outre, les liens avec la Russie dans le cadre de la guerre en Ukraine renforcent l’importance stratégique de ces informations pour la Corée du Nord.

Les techniques utilisées par Lazarus dans cette campagne incluent l’utilisation de droppers et loaders pour initialiser les attaques, suivis de la mise en place de charges utiles RAT. Ce malware, qui supporte environ 40 commandes, a été observé pour la première fois en 2022, ciblant des entreprises dans plusieurs pays européens. La capacité de Lazarus à adapter et à mettre à jour ses outils de manière continue démontre une sophistication technique qui leur permet de contourner les systèmes de détection traditionnels.

Malgré l’exposition médiatique de l’Operation DreamJob, la sensibilisation des employés dans des secteurs clés comme la technologie, l’ingénierie et la défense reste insuffisante. La persistance de ces attaques rappelle l’importance de renforcer les mesures de sécurité et de sensibilisation pour protéger les informations sensibles contre des acteurs étatiques déterminés.