【安全圈】朝鲜黑客组织Lazarus再出手！欧洲军工企业无人机技术遭窃密

关键词

黑客

攻击事件速览

攻击时间线：2025年3月-9月
受害目标：3家欧洲防务企业（金属工程/飞机零件/无人机软件）
攻击组织：朝鲜APT Lazarus（HIDDEN COBRA）
核心目标：窃取无人机设计图纸、制造工艺及军工供应链数据

⚡ 攻击手法全解析① 社会工程破防

• 伪造高薪职位邮件（航空航天/国防领域高级工程师岗位）

• 诱饵文档内置木马化PDF阅读器（MuPDF/TightVNC Viewer）

• 点击即触发DLL侧载攻击（伪装微软DirectInput库dinput.dll）

▸ 木马载体：Notepad++插件/PCRE库/WinMerge插件等

▸ 恶意功能：嵌入Loader组件实现载荷解密与内存注入

▸ 规避检测：利用合法软件签名+开源项目白名单特性

③ 载荷投递链

️ 攻击工具库升级工具类型2025版新特征BinMergeLoader

利用Microsoft Graph API进行C2通信

DroneEXEHijacking

专攻无人机控制系统的进程劫持模块

ScoringMathTea

新增40+控制指令，支持TCP隧道穿透

ScoringMathTea RAT三阶段

1. 侦察

   ：收集系统信息/网络配置/安全软件状态

2. 持久化

   ：注册表注入/计划任务/服务伪装

3. 数据外传

   ：通过WordPress目录下的C2服务器回传

• 技术逆向

  ：朝鲜Saetbyol系列无人机涉嫌抄袭美制MQ-9“死神”

• 战场需求

  ：俄乌冲突中缴获的西方无人机亟需破解分析

• 产业升级

  ：平壤在建大型无人机工厂需获取精密制造技术

① 关键系统防护

# 检测异常DLL加载行为

Get-Process | Where-Object {$_.Modules.ModuleName -match "DroneEXE|QuanPin"}

② 供应链安全

• 对GitHub开源组件实施动态污点分析

• 建立软件物料清单(SBOM)审核机制

③ 员工意识培养

• 开展“钓鱼邮件红蓝对抗”演练

• 设置内部漏洞报告奖励机制

④ 网络流量监控

• 重点关注8530/8531端口异常通信

• 部署威胁情报匹配C2域名（如scoringmnmathleague[.]org）

安全圈

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！