As comunicações eram acompanhadas por documentos PDF infetados e leitores de PDF manipulados que, ao serem abertos, instalavam um trojan de acesso remoto (RAT) conhecido como ScoringMathTea.

Este malware permite aos atacantes executar cerca de 40 comandos distintos, dando-lhes controlo sobre os sistemas das vítimas para aceder, copiar ou modificar ficheiros, instalar software malicioso adicional e mover-se lateralmente dentro da rede comprometida.

A ESET confirma que as entidades visadas produzem componentes utilizados em sistemas de armamento ocidentais atualmente ativos no conflito da Ucrânia, o que reforça a tese de ciberespionagem industrial.

O objetivo poderá ser a obtenção de conhecimento técnico para acelerar os projetos militares de Pyongyang ou para partilhar informações com a Rússia.

Numa evolução das suas táticas, o grupo Lazarus também ocultou parte do código malicioso em projetos de código aberto no GitHub, dificultando a sua deteção.