Lazarus, un sofisticado grupo de hackers alineado con Corea del Norte y también conocido como HIDDEN COBRA, ha lanzado una nueva ola de ataques dirigidos contra fabricantes europeos de drones y contratistas de defensa.

La campaña, rastreada como Operation DreamJob, surgió a finales de marzo de 2025 y apunta específicamente a organizaciones que desarrollan tecnología de vehículos aéreos no tripulados en Europa Central y Sudoriental.

Los investigadores han identificado esta actividad como parte de un esfuerzo estratégico más amplio de Corea del Norte para acelerar su programa nacional de drones, especialmente tras el aumento de la inversión en capacidades de guerra moderna observado en el conflicto entre Rusia y Ucrania.

La campaña representa una escalada significativa en las tácticas de ciberespionaje destinadas a robar información de fabricación patentada y propiedad intelectual de los sectores aeroespacial y de defensa.

Tres empresas europeas han sido confirmadas como objetivos, con al menos dos fuertemente involucradas en el diseño de drones avanzados de rotor único y en la producción de componentes críticos para UAV actualmente desplegados en zonas de conflicto activo.

El momento de estos ataques coincide con los esfuerzos reportados de Corea del Norte para producir en masa drones de combate y de reconocimiento similares a modelos occidentales como el MQ-9 Reaper y el RQ-4 Global Hawk.

Analistas de Welivesecurity y otros investigadores señalaron que la infraestructura de malware utilizada en estos ataques emplea mecanismos de entrega sofisticados diseñados para evadir las defensas de seguridad tradicionales.

El ataque comienza con ingeniería social, específicamente usando ofertas de empleo falsas para puestos prestigiosos con el fin de engañar a los empleados para que descarguen documentos troyanizados.

Una vez ejecutado, el malware despliega una cadena de herramientas especializadas diseñadas para mantener acceso persistente y evitar la detección en los sistemas comprometidos.

Mecanismo de infección

El principal mecanismo de infección se basa en el DLL side-loading, una técnica en la que se explotan aplicaciones legítimas de Windows para cargar bibliotecas maliciosas sin activar alertas de seguridad.

Los atacantes han incorporado su malware en versiones troyanizadas de software de código abierto popular, incluyendo TightVNC Viewer, el lector MuPDF y plugins de WinMerge.

Un dropper particularmente revelador contenía el nombre interno de archivo DroneEXEHijackingLoader.dll, haciendo referencia directa al enfoque de la campaña de los atacantes en la tecnología de drones.

La carga útil principal desplegada en todos los incidentes es ScoringMathTea, un troyano de acceso remoto que proporciona a los atacantes control total sobre las máquinas comprometidas.

Este sofisticado malware ofrece aproximadamente 40 comandos diferentes para la manipulación del sistema, la exfiltración de archivos y el despliegue de cargas útiles adicionales.

Lo que hace que ScoringMathTea sea particularmente peligroso es su capacidad para permanecer completamente cifrado en el disco, descifrándose solo en memoria durante la ejecución, lo que hace que la detección basada en archivos tradicionales sea casi imposible sin un monitoreo conductual avanzado.