朝鲜黑客发起新一轮网络间谍活动，瞄准无人机技术与软件供应链

安全厂商ESET发布威胁报告，与朝鲜相关的Lazarus（拉撒路）APT组织重启代号DreamJob的间谍行动，在2026年4月至9月期间扩大攻击范围，重点瞄准无人机研发厂商、无人系统配套服务商以及开源软件供应链，主攻中欧、东南欧防务企业，目标窃取无人机飞控算法、固件、图纸与配套软件源码，以此加速自身无人机技术迭代。

一、组织与攻击主线：求职社工+开源投毒双路线

本轮活动延续DreamJob经典套路，以虚假高薪岗位邀约作为主要社会工程入口，定向对接无人机工程师、嵌入式开发、固件研发人员。攻击者伪装成防务猎头、海外军工企业HR，通过LinkedIn、邮件沟通，随后发送带密码保护的压缩包，包内是伪装成招聘资料的恶意PDF查看器、开发工具，执行后落地ScoringMathTea远控木马、BinMergeLoader加载器，完成内网立足点搭建。

与此同时，新增软件供应链攻击分支：攻击者注册仿冒开发者账号，在GitHub等平台上传被植入后门的开源无人机仿真工具、飞控调试组件，或是盗取真实开发者账号，向项目仓库注入恶意代码。一旦企业引入这些开源组件，后门会随开发流程进入测试、生产环境，实现长期潜伏。

二、核心窃取目标：无人机全链条技术资料

攻击者重点收集的资产覆盖无人机完整技术栈：飞控软件源代码、导航与姿态控制算法、通信链路协议、固件编译方案、零部件供应链图纸、地面站控制程序，以及测试日志、试飞参数、BOM物料清单。

部分被盯上的企业，其无人机型号已经投入实战场景，攻击者希望拿到成熟设计方案，降低自研试错成本。和单纯窃取文档不同，供应链投毒模式可以持续渗透下游集成商、配套厂商，横向扩散至更多关联企业，放大情报获取范围。

三、恶意载荷与内网行动特点

ScoringMathTea是本轮主力RAT，支持命令执行、屏幕截图、文件检索、内网扫描、加密C2通信，具备长期驻留能力。木马会优先搜索工程目录、版本管理仓库、CAD图纸文件夹、Git凭证，打包敏感数据分批外发。

攻击者在拿到内网权限后，优先寻找研发服务器、代码仓库、设计工作站，很少第一时间破坏系统，属于典型低噪音间谍模式，依靠长时间潜伏、分批窃取规避EDR告警。区分于勒索攻击，本次行动几乎不加密文件，核心诉求是情报收集。

四、目标行业与防护难点

受害主体集中在无人机整机厂商、飞控研发团队、航空嵌入式软件公司、军工配套供应商。这类企业普遍存在几个短板：研发人员高频下载开源工具、跨境外包协作频繁、工程师个人工作站权限偏高，对社工诱饵警惕性弱。

开源供应链更是薄弱环节：很多无人机项目依赖第三方开源库、仿真脚本，团队很少做源码审计，仅凭版本号直接引入，恶意代码可以悄无声息混入开发管线。