ラザルスのハッカー集団、進行中のキャンペーンで欧州のドローン製造企業を標的に

北朝鮮の国家支援を受けるラザルス（Lazarus）ハッキンググループが、無人航空機（UAV）製造に関与する欧州の防衛請負企業を標的とした高度なサイバー諜報キャンペーンを開始しました。

これらの攻撃は、産業スパイを通じて国内のドローン生産能力を加速させようとする北朝鮮の取り組みと直接結び付いているように見えます。

標的となった組織には、金属エンジニアリング企業、航空機部品メーカー、専門防衛企業が含まれ、少なくとも2社がUAV技術の開発・生産に深く関与しています。

このキャンペーンは、著名企業での偽の求人オファーを餌に用いるラザルスの代表的なソーシャルエンジニアリング作戦「Operation DreamJob」の新たな波を示しています。

2025年3月下旬から、ESETは東南欧および中欧にまたがる防衛分野の企業3社を標的とした複数の攻撃を特定しました。

被害者には不正な求人内容とともにトロイの木馬化されたPDFリーダーが送付され、実行されるとマルウェアが配信されます。この欺瞞的な手口は、広範なセキュリティ啓発キャンペーンが行われているにもかかわらず、驚くほど効果的であることが示されています。

攻撃者は、ラザルスが3年間にわたり主要ペイロードとして用いてきた高度なリモートアクセス型トロイの木馬（RAT）であるScoringMathTeaを展開しました。

BinMergeLoaderはMicrosoft Graph APIを悪用し、認証にはMicrosoft APIトークンを使用します。

ScoringMathTeaは2022年10月に初めて観測され、約40のコマンドをサポートしており、攻撃者はファイルやプロセスの操作、システム情報の収集、TCP接続の確立、ダウンロードしたペイロードの実行が可能になります。

研究者が発見したあるドロッパーのサンプルには内部名「DroneEXEHijackingLoader.dll」が含まれており、このキャンペーンがUAV技術の窃取に焦点を当てていることを直接示す手掛かりとなっています。

このマルウェアはDLLサイドローディング手法を悪用し、TightVNC Viewer、MuPDF reader、Notepad++ やWinMerge向けプラグインなど、GitHub上の正規オープンソースプロジェクトをトロイの木馬化して検知回避を図ります。

ESETの研究者は、新たなDLLプロキシング用ライブラリや、トロイの木馬化に用いるオープンソースプロジェクトの選定改善など、同グループの戦術に顕著な進化が見られると指摘しました。

このマルウェアはコマンド＆コントロール通信に侵害されたWordPressサーバーを使用し、通常はテーマまたはプラグインのディレクトリ内にサーバー側コンポーネントを格納します。

時期と標的選定から、このキャンペーンが独自のUAV設計、製造プロセス、産業上のノウハウを窃取することを目的としている可能性が強く示唆されます。

北朝鮮は国内のドローン能力に多額の投資を行っており、最近の報告では、平壌がアフリカおよび中東市場への輸出も視野に入れた低コストの攻撃UAVを開発しているとされています。ロシアは、イラン製Shahed自爆ドローンの模倣品を北朝鮮が生産するのを支援していると報じられています。

北朝鮮の主力偵察ドローン「セッピョル4（Saetbyol-4）」はNorthrop GrummanのRQ-4 Global Hawkのカーボンコピーのように見え、また「セッピョル9（Saetbyol-9）」戦闘ドローンはGeneral AtomicsのMQ-9 Reaperに酷似しています。

これらの設計は、北朝鮮が軍事能力を向上させるためにリバースエンジニアリングと知的財産の窃取に依存していることを示しています。

標的となった企業の少なくとも1社は、現在ウクライナで運用されているUAVモデル向けの重要部品を製造しており、北朝鮮部隊が2025年に派遣されたロシアのクルスク地域の前線でそれらに遭遇した可能性があります。

さらに同社は、平壌が積極的に開発しているものの軍事化には成功していない先進的な単一ローター型ドローン（無人ヘリコプター）技術の開発にも関与しています。

帰属（アトリビューション）とより広い文脈

ESETは、複数の指標に基づき高い確度で攻撃をラザルスによるものと判断しました。具体的には、ソーシャルエンジニアリングの手法、DLLサイドローディングのための GitHubオープンソースプロジェクトのトロイの木馬化、ScoringMathTeaの展開、そして欧州の航空宇宙・防衛分野を標的としている点です。

ラザルスはHIDDEN COBRAとしても知られ、北朝鮮の情報機関と関連する高度持続的脅威（APT）グループで、少なくとも2009年から活動しています。

同グループは、2016年のSony Pictures Entertainmentへのハッキング、数千万ドル規模のサイバー強奪、2017年のWannaCryランサムウェア流行、そして韓国のインフラに対する継続的な攻撃など、注目度の高い事件の責任主体とされています。

セキュリティ専門家は、防衛請負企業に対し、特に偽の採用誘導といったソーシャルエンジニアリング手口に関する厳格な従業員教育を実施するよう推奨しています。

組織は、予期しない送信元からの求人オファーを精査し、実行ファイルを開く前に検証し、トロイの木馬化された正規ソフトウェアを識別できる高度なエンドポイント検知ソリューションを導入すべきです。

ネットワークセグメンテーションと特権アクセス管理は、初期侵害が発生した場合のラテラルムーブメント（横展開）を制限できます。

IoCs