Operação Vaga Falsa: Hackers norte-coreanos e a caça por segredos de drones

Imagine a cena: você está no seu trabalho, talvez um pouco entediado, quando uma notificação de uma nova proposta de emprego surge na sua tela. Não é qualquer proposta. É uma vaga de alto nível, com um salário que faria seu gerente chorar de inveja, em uma empresa de renome. Parece o sonho de qualquer profissional, certo? Pois é exatamente com essa isca que o notório grupo de hackers norte-coreano, Lazarus, está pescando segredos industriais na Europa. A campanha, batizada de "Operação Dream Job", foi detalhada por pesquisadores de segurança da ESET, que identificaram uma nova onda de ataques iniciada em março deste ano contra empresas do setor de defesa, com um foco especialíssimo em tecnologia de veículos aéreos não tripulados (VANTs), ou como gostamos de chamar, drones.

A Proposta dos Sonhos... ou do Pesadelo?

A "Operação Dream Job" não é exatamente uma novidade no submundo digital. Descoberta inicialmente pela empresa de segurança ClearSky em 2020, essa tática de engenharia social é quase um clássico do Lazarus Group. O modus operandi é digno de um filme de espionagem: os hackers, se passando por recrutadores de grandes companhias, abordam funcionários de organizações estratégicas. O alvo da vez, segundo o relatório da ESET, foram pelo menos três companhias europeias: uma empresa de engenharia metalúrgica no sudeste europeu, uma fabricante de componentes aéreos e uma companhia de defesa na Europa Central.

O que todas elas têm em comum? Além de fabricarem equipamentos militares de ponta, muitas dessas tecnologias estão sendo ativamente utilizadas no conflito entre Rússia e Ucrânia. A isca é sempre a mesma: uma oportunidade de carreira irrecusável que, na verdade, é um convite para instalar malware. A abordagem é tão antiga quanto a própria internet, mas sua eficácia contínua prova que o fator humano ainda é a porta de entrada mais fácil de arrombar em qualquer sistema de segurança. Afinal, quem resiste a dar uma espiadinha em uma proposta de emprego dos sonhos?

Por Trás do Anexo: Um Arsenal de Malware

Quando a vítima, seduzida pela promessa de uma vida melhor, abre o arquivo malicioso — geralmente disfarçado de um leitor de PDF como o MuPDF, um plugin para o Notepad++ ou até o visualizador TightVNC — a verdadeira mágica negra digital acontece. Os criminosos utilizam uma técnica conhecida como DLL sideloading, que abusa de um software legítimo para carregar uma biblioteca de códigos maliciosos (DLL) sem ser detectado.

A partir daí, o show de horrores começa. Em uma das cadeias de infecção, um downloader chamado BinMergeLoader (que a Google Mandiant já conhecia como MISTPEN) entra em ação, abusando da API do Microsoft Graph para baixar ainda mais "ferramentas". O prato principal, no entanto, é um Trojan de Acesso Remoto (RAT) chamado ScoringMathTea, também conhecido como ForestTiger. De acordo com a ESET, essa praga digital é um canivete suíço para espiões, com mais de 40 comandos capazes de dar aos atacantes controle total sobre a máquina infectada, permitindo manipulação de arquivos, execução de comandos e, claro, o roubo de todas as informações valiosas que encontrarem pela frente.

Em um toque de humor involuntário, ou talvez de pura ousadia, os pesquisadores descobriram um dos arquivos maliciosos com o nome interno de DroneEXEHijackingLoader.dll. É quase como um ladrão que assina o próprio nome na cena do crime. Talvez até os hackers mais sofisticados do mundo gostem de uma piada sem graça de vez em quando.

O Grande Prêmio: Tecnologia de Ponta e Geopolítica

A pergunta que fica é: por que tanto esforço para roubar segredos de drones? A resposta, segundo os especialistas da ESET, está alinhada aos interesses geopolíticos e ao esforço da Coreia do Norte para modernizar seu próprio arsenal de VANTs. "Encontramos evidências de que uma das entidades visadas está envolvida na produção de pelo menos dois modelos de VANTs que estão atualmente empregados na Ucrânia, e que a Coreia do Norte pode ter encontrado no campo de batalha", afirmam os pesquisadores. Isso sugere um interesse direto em estudar e, possivelmente, replicar a tecnologia ocidental.

Além disso, uma das empresas atacadas está envolvida na cadeia de suprimentos de drones avançados de rotor único, semelhantes a helicópteros não tripulados, um tipo de aeronave que Pyongyang está desenvolvendo ativamente, mas ainda não conseguiu militarizar com sucesso. O roubo dessas informações proprietárias e de manufatura poderia acelerar significativamente o programa de drones norte-coreano, representando um avanço estratégico importante para o país.

Um Golpe Antigo para uma Guerra Moderna

A persistência da "Operação Dream Job" é um lembrete de que, no complexo tabuleiro da cibersegurança global, as táticas mais eficazes nem sempre são as mais avançadas tecnologicamente. O Lazarus Group, ativo desde pelo menos 2009 e responsável por ataques notórios como o da Sony Pictures em 2014 e o WannaCry em 2017, continua a apostar na engenharia social como sua principal arma.

No final, a história se repete. A tecnologia dos drones pode ser do século XXI, mas o golpe da "proposta irrecusável" é mais velho que os mainframes que tanto admiro. Enquanto a curiosidade e a ambição humanas forem uma constante, grupos como o Lazarus sempre encontrarão uma porta aberta, provando que a primeira linha de defesa não é um firewall, mas sim uma boa dose de desconfiança.