网络安全厂商 ESET 发布 APT 报告，确认和朝鲜相关的黑客组织在今年 4 月至 9 月重新启动一轮网络间谍行动，主要分为两条攻击主线，拉撒路集团重启 DreamJob 行动专门盯紧欧洲无人机研发、零部件制造的防务企业，DeceptiveDevelopment 团伙则转向入侵代码仓库，通过盗取开发者账号污染软件供应链，整套攻击依旧以虚假招聘作为最常用的钓鱼入口，一旦得手就投放定制远控木马，目标窃取无人机图纸、制造工艺、飞控源码以及各类开源项目代码，相比上一轮袭击，这批黑客更新了恶意载荷，同时放大供应链污染带来的扩散风险，就算不是无人机行业的公司，只要使用被篡改的开源组件，都有可能被牵连入侵。黑客选择这个方向，核心原因是无人机在现代战场的价值持续走高，无人机整机、飞控软件、专用零部件属于高价值技术资产；传统单点入侵只能拿到一家企业资料，而软件供应链攻击可以实现 “一次投毒、多点扩散”，效率更高；虚假招聘的社工方案已经经过多次实战打磨，很多技术人员面对高薪岗位警惕性偏低，很容易主动打开压缩包、运行伪装成开源工具的木马。下面把涉及团伙、恶意程序清单、攻击链路、企业防御步骤整理清楚。
两大攻击团伙分工
| 团伙代号 | 行动名称 | 主攻方向 | 典型目标 |
|---|---|---|---|
| Lazarus（拉撒路） | DreamJob | 无人机技术窃取 | 欧洲无人机厂商、防务零部件、飞控软件开发企业 |
| DeceptiveDevelopment | 供应链投毒行动 | 软件仓库入侵 | 开源项目维护人员、私有代码仓库、开发团队 |
本次活动出现恶意程序清单
- MortPusLoader：新型加载器，伪装成 Notepad++ 插件，用于落地后续木马
- LightlessTeaR：更新版本远控，支持文件窃取、屏幕录制、命令回传
- ScoringMathTea（ForestTiger）：老牌远程访问木马，常驻内网横向移动
- OmniStealer：凭证窃取工具，抓取开发密钥、仓库账号、证书
- DEV#POPPER RAT：面向开发者工作站的轻量远控程序
完整攻击链路
- 攻击者伪装成大型防务企业、科技公司招聘人员，向目标工程师发送岗位邀约。
- 附带压缩包，里面是伪装成阅读器、开源插件、面试工具的木马程序。
- 受害者执行文件，触发 DLL 侧加载，恶意代码直接注入内存，规避常规杀毒扫描。
- 窃取本机账号、仓库令牌，如果拿到维护权限，就向公共或私有代码库植入恶意代码。
- 如果进入企业内网，继续横向渗透，寻找无人机设计文档、仿真工程文件、生产资料。
- 持续建立 C2 通道，长期潜伏，分批外发敏感资料。
企业防御落地步骤
- 对研发、无人机项目团队做专项提醒，凡是陌生招聘发来的工具包、面试资料，禁止直接运行。
- 对内部所有开源依赖做物料审核，引入软件成分分析工具，监控代码仓库提交记录。
- 开启代码仓库二次验证，禁止单人直接合并重要分支，记录所有账号登录与提交日志。
- 终端防护增加内存载荷、DLL 侧加载行为检测，重点拦截伪装流行开源工具的程序。
- 如果企业涉及无人机研发，单独隔离项目文档服务器，限制外网访问权限。
- 定期复盘异常账号登录、陌生代码提交、外发大量工程文件等高风险行为。
需要厘清的关键点
两份行动属于关联但独立的攻击，并不代表两个团伙一定协同作战；安全厂商评估认为窃取无人机技术大概率用于推动本土无人机产业，但是目前没有实锤确认已经拿到核心图纸；另外，供应链攻击的危险在于扩散，下游厂商、普通开发者下载被投毒的开源包，也会中招。
整体来看，这一轮网络间谍活动代表威胁行为者的策略升级，不再只是单独瞄准防务企业员工，而是利用软件供应链放大攻击覆盖面，从事无人机研发、开源维护的团队需要长期保持警惕。
常见问题
问题 1：朝鲜关联黑客发起新一轮网络间谍活动，瞄准无人机技术与软件供应链，是哪两个团伙主导？
回答 1：本轮瞄准无人机技术与软件供应链的间谍活动，主要由拉撒路集团和 DeceptiveDevelopment 两个和朝鲜相关的黑客团伙分别执行，拉撒路主攻无人机企业，后者主打软件代码仓库投毒。
问题 2：朝鲜关联黑客发起新一轮网络间谍活动，瞄准无人机技术与软件供应链，最常用的入侵入口是什么？
回答 2：在这次瞄准无人机技术与软件供应链的间谍活动当中，黑客最常用的入口是虚假招聘社工，冒充招聘方发送带木马的压缩包，引诱工程师运行恶意程序。
问题 3：朝鲜关联黑客发起新一轮网络间谍活动，瞄准无人机技术与软件供应链，软件供应链攻击会带来什么风险？
回答 3：这次瞄准无人机技术与软件供应链的间谍活动里面，供应链攻击一旦成功，恶意代码会藏进开源项目，所有下载、引用该代码的下游机构，都有可能被入侵，威胁范围远大于单点钓鱼。
问题 4：朝鲜关联黑客发起新一轮网络间谍活动，瞄准无人机技术与软件供应链，攻击主要集中在哪些地区？
回答 4：本轮瞄准无人机技术与软件供应链的间谍活动，目前观测到的主要受害目标集中在欧洲，以欧洲防务、无人机零部件和飞控开发企业为主。
参考资料
[2026-11-10]（North Korean Hackers Target Drone Technology and Software Supply Chains in New Cyberespionage Campaigns）Cyber Security News
[2026-11-10]（North Korean Hackers Widen Drone and Software Attacks）Arabian Post
[2026-11-10]（North Korea Revamps Drone Espionage & Software Supply Chain Attacks）The Daily Tech Feed
[2026-11-10]（North Korean Hackers Target Drone Technology and Software Supply Chains in New Cyberespionage Campaigns）GBHackers News
[2026-10-28]（ESET APT Activity Report）ESET
免责声明
本文信息基于 ESET 安全报告以及海外网络安全媒体公开报道整理；相关结论为安全厂商的威胁评估，并不等同于已经证实全部攻击目标与窃取成果；防御方案仅作参考，不能保证完全抵御此类高级持续性间谍攻击；本文不代表官方立场。