Anar al contingut

Lazarus Group

De L'Enciclopèdia, la wikipedia en valencià
Lazarus Group

Lazarus Group —també denominat en espanyol Grup Lazarus— és el nom utilisat públicament per a identificar un conjunt d'operacions de ciberespionaje, sabotage i robo financer patrocinades per l'Estat nortcoreà. La base de coneiximents MITRE ATT&CK advertix que Lazarus Group funciona a sovint com un terme paraigües que engloba a varis operadors i campanyes de la República Popular Democràtica de Corea, mentres que distintes agències governamentals i empreses de ciberseguridad dividixen eixa activitat en clústers parcialment solapados.[1]

Estats Units atribuïx el grup a l'Oficina General de Reconeiximent (RGB), principal servici d'inteligència de Corea del Nort. En setembre de 2019, l'Oficina de Control d'Actius Estrangers del Departament del Tesor nortamericà va sancionar a Lazarus Group, Bluenoroff i Andariel com a agències, instruments o entitats controlades pel Govern nortcoreà i vinculades al RGB.[2] L'estructura interna exacta, la cadena de mando i la correspondència entre els noms amprats per cada proveïdor no es coneixen públicament en certea.[3]

L'ecosistema Lazarus està actiu a lo manco des de 2009. Les seues operacions conegudes comprenen atacs destructius contra Corea del Sur, l'atac contra Sony Pictures Entertainment de 2014, el robo al Banc de Bangladés de 2016, el brot mundial de WannaCry de 2017, campanyes contra rets bancàries i caixers automàtics, espionage industrial i militar, atacs de cadena de suministrament de software i grans robos de criptoactius. Entre estos últims figuren l'atac al pont Ronin en 2022, el robo de 308 millons de dólars a DMM Bitcoin en 2024 i el robo d'aproximadament 1500 millons de dólars a Bybit en 2025.[4][5]

Denominació, atribució i estructura

El nom Lazarus Group va ser popularisat per investigadors de seguritat que varen relacionar vàries campanyes per mig de similituts de còdic, infraestructura, procediments i horaris de treball. Una coalició encapçalada per Novetta va publicar en 2016 l'informe de la «Operació Blockbuster», que va vincular l'atac a Sony en operacions anteriors com Operation Troy i DarkSeoul per mig de l'anàlisis de decenes de famílies de programes maliciosos.[6]

Les denominacions no són equivalència perfectes. Algunes designen grups analítics, atres campanyes concretes i unes atres conjunts d'activitat observats per una empresa. Entre els noms amprats per a parts de l'ecosistema figuren HIDDEN COBRA, Labyrinth Chollima, Diamond Sleet, ZINC, APT38, Bluenoroff, BeagleBoyz, STARDUST CHOLLIMA, Andariel, APT45, Onyx Sleet, AppleJeus, TraderTraitor, Jade Sleet, UNC4736, UNC4899 i TEMP. Hermit.[1][3] Per això, les fonts especialisades recomanen no interpretar «Lazarus» com una organisació monolítica en llímits universalment acceptats.

Principals clústers i denominacions públiques
Denominació Àlies freqüents Activitat observada Observacions
Lazarus Group HIDDEN COBRA, Labyrinth Chollima, Diamond Sleet, ZINC Ciberespionaje, sabotage, operacions destructives i campanyes financeres S'usa habitualment com a terme paraigües; el seu perímetro varia segons la font.[1]
Bluenoroff / APT38 BeagleBoyz, STARDUST CHOLLIMA, Sapphire Sleet Robos bancaris, manipulació d'entorns SWIFT, frau en caixers automàtics i atacs contra criptoactius El Tesor nortamericà ho descriu com un grup creat per a obtindre ingressos ilícits; MITRE ho tracta com un grup financer estatal nortcoreà actiu des d'a lo manco 2014.[7][2]
Andariel APT45, Onyx Sleet, Silent Chollima Espionage tècnic i militar, atacs contra defensa, energia, salut i infraestructures; us de ransomware en algunes operacions Agències d'Estats Units, Regne Unit i Corea del Sur ho vinculen al Tercer Buró del RGB.[8]
AppleJeus / TraderTraitor Jade Sleet, UNC4899, Slow Pisces Ingenieria social contra professionals de cadenes de blocs i criptomonedas, aplicacions de negociació troyanizades, robo de credencials i manipulació de transaccions El FBI va amprar el nom TraderTraitor en atribuir els robos de DMM Bitcoin i Bybit.[9][4][5]

Algunes fonts nortamericanes situen a Lazarus baix el Centre d'Investigació 110 i el denominat Buró de Reconeiximent Tècnic del RGB.[2][10] No obstant, les assignació més detallades entre departaments, burós i clústers procedixen d'atribucions governamentals o models analítics externs, no de documentació organisativa pública de Corea del Nort. No existix evidència pública suficient per a identificar de manera inequívoca a tot Lazarus Group en una suposta «Oficina d'enllaç 414», ni per a atribuir-li una sèu concreta o un número conegut d'integrants.

Història i operacions

Operacions primerenques contra Corea del Sur

L'activitat associada retrospectivament en Lazarus es remonta a lo manco a 2009. Operation Troy va agrupar campanyes dirigides principalment contra institucions governamentals, mijos de comunicació, empreses financeres i atres organisacions surcoreanes. Entre els incidents relacionats es troben els atacs distribuïts de refús de servici de juliol de 2009 i la campanya de març de 2011 coneguda com Tingues Days of Rain.[1][6]

El 20 de març de 2013, l'incident conegut com DarkSeoul va interrompre vàries cadenes de televisió i entitats financeres surcoreanes. L'atac va utilisar programes destructius que sobrescribieron el registre d'arrancada i varen danyar sistemes, ademés de components destinats a propagar-se i eixecutar el borrat de forma coordinada.[11] La conexió d'estes campanyes en Lazarus es va consolidar posteriorment per mig dels anàlisis de l'Operació Blockbuster i atres estudis tècnics.[6]

Atac a Sony Pictures Entertainment

El 24 de novembre de 2014, amprats de Sony Pictures Entertainment varen trobar els seus equips bloquejats per una image firmada per un grup que es feya cridar Guardians of Peace. Els atacants havien sostret correus electrònics, documents interns, informació personal i còpies de películes, i varen desplegar un programa destructiu que va inutilisar numerosos sistemes. L'incident va estar acompanyat per la publicació progressiva de senyes furtades i amenaces relacionades en l'estrena de la película The Interview.

El FBI va atribuir públicament l'atac al Govern nortcoreà el 19 de decembre de 2014. L'agència va citar similituts de còdic, algoritmes de sifrat, métodos de borrat i infraestructura en programes maliciosos prèviament vinculats a Corea del Nort, aixina com conexions en direccions d'Internet amprades en atres operacions.[12] En 2018, el Departament de Justícia va acusar al programador nortcoreà Park Jin Hyok de participar en l'atac, ademés d'en el robo al Banc de Bangladés i en WannaCry.[13]

Robos bancaris i Banc de Bangladés

Des de mediats de la década de 2010, les operacions financeres varen adquirir un pes central. Programes maliciosos relacionats en Lazarus varen ser associats en intents de frau contra bancs de varis països, entre ells Equador, Vietnam, Filipines, Polònia, Mèxic i Taiwan. El clúster denominat Bluenoroff o APT38 es va especialisar en comprometre rets bancàries, estudiar durant mesos els procediments interns de les víctimes i manipular sistemes conectats a SWIFT per a ordenar transferències fraudulentes i ocultar les proves.[7][2]

En febrer de 2016, els atacants varen comprometre el Banc de Bangladés i varen enviar des del seu conte en el Banc de la Reserva Federal de Nova York més de trenta órdens fraudulentes per un total propenc a 1000 millons de dólars. La majoria varen ser bloquejades, pero aproximadament 81 millons es varen transferir a contes en Filipines i posteriorment varen ser objecte de blanqueig.[2][14] L'atac es va convertir en un dels eixemples més destacats de robo bancari per mig del compromís de l'infraestructura SWIFT.

Entre atres operacions financeres es varen atribuir a APT38 intents contra Tien Phong Bank en Vietnam i Banc del Austro en Equador, el robo al Far Eastern International Bank de Taiwan i campanyes de retirada simultànea d'efectiu en caixers automàtics conegudes com FASTCash o BeagleBoyz.[2][15]

WannaCry

El 12 de maig de 2017 va començar la propagació mundial de WannaCry, un ransomware en capacitats de cuc que explotava una vulnerabilitat del protocol SMB per mig de la ferramenta coneguda com EternalBlue. El brot va afectar a al voltant de 300 000 equips en uns 150 països i va causar interrupcions greus en organisacions com el Servici Nacional de Salut britànic, empreses de telecomunicacions, fabricants i organismes públics.[16]

Investigadors de vàries empreses varen identificar similituts entre una versió primerenca de WannaCry i ferramentes usades anteriorment per Lazarus. Estats Units i el Regne Unit varen atribuir posteriorment l'atac a Corea del Nort, i les acusacions penals nortamericanes de 2018 i 2021 varen incloure WannaCry entre les operacions realisades per membres del RGB.[13][14][16] Encara que el programa exigia un rescat, el seu disseny deficient per a identificar i recuperar els pagaments, junt en la seua propagació indiscriminada, va fer que també tinguera un efecte destructiu i disruptiu a gran escala.

Expansió cap a les criptomonedas

L'interés de l'ecosistema Lazarus per les criptomonedas es va fer visible durant la segona mitat de la década de 2010. Les campanyes varen incloure atacs de spear phishing contra empleats de cases de canvi, explotació de programes d'us habitual en Corea del Sur i aplicacions de negociació troyanisades distribuïdes baix marques fictícies. CISA va denominar AppleJeus a vàries famílies d'aplicacions malicioses per a Windows i macOS que simulaven ser ferramentes llegítimes de compravenda de criptoactius.[17]

La campanya denominada TraderTraitor es va dirigir a companyies de cadenes de blocs i criptomonedas per mig d'ofertes laborals falses, conversacions prolongades en rets professionals i aplicacions o proyectes de programació manipulats. Una volta compromés un empleat, els operadors intentaven obtindre accés a claus, sessions, sistemes de firma i processos de transferència d'actius.[9]

En març de 2022 es varen sostraure criptomonedas valorades en aproximadament 620 millons de dólars del pont Ronin, utilisat pel videojoc Axie Infinity. El Tesor nortamericà va atribuir el robo a Lazarus i va sancionar posteriorment servicis de mescla utilisats per a blanquejar part dels fondos, entre ells Blender. io.[18]

En maig de 2024, operadors identificats com TraderTraitor varen furtar 4502,9 bitcoines, valorats llavors en uns 308 millons de dólars, de la casa de canvi japonesa DMM Bitcoin. Segons l'investigació conjunta del FBI, la policia japonesa i el Centre de Ciberdelitos de Defensa nortamericà, un atacant es va fer passar per reclutador, va enviar a un empleat de l'empresa de moneders Ginco una prova de programació maliciosa estajada en GitHub, va furtar informació de sessió i va manipular posteriorment una solicitut llegítima de transferència.[4]

El 21 de febrer de 2025, Bybit va sofrir la substracció d'aproximadament 1500 millons de dólars en actius digitals. El FBI va atribuir l'atac a TraderTraitor i va afirmar que els operadors varen convertir ràpidament partix dels actius i els varen dispersar per mils de direccions en múltiples cadenes de blocs.[5] L'incident va ser descrit en eixe moment com el major robo de criptoactius conegut per valor econòmic.

Espionage i falses ofertes de treball

Ademés de les operacions financeres, Lazarus ha mantingut campanyes d'espionage contra indústries estratègiques. Operation Dream Job, també coneguda en algunes fonts com DeathNote, utilisa perfils falsos de reclutadores, ofertes d'ocupació i supostes proves tècniques per a induir a empleats de defensa, aeroespacial, tecnologia, ingenieria i criptomonedas a obrir documents o eixecutar proyectes manipulats.[19]

En 2023, ESET va documentar un atac contra una empresa aeroespacial espanyola en el que els operadors varen contactar per LinkedIn en empleats i els varen enviar desafius de programació troyanizados com a part d'un supost procés de selecció.[20] En 2025, la mateixa empresa va relacionar una nova onada de DreamJob en atacs contra companyies europees del sector de vehículs aéreus no tripulats; l'atribució tècnica a Lazarus va ser elevada, encara que la conclusió de que l'objectiu últim era recolzar el programa nortcoreà de drones es va presentar com una evaluació analítica.[21]

Andariel ha segut vinculat a campanyes d'espionage contra organisacions de defensa, aeroespacials, nuclears, energètiques, sanitàries i d'ingenieria. En juliol de 2024, Estats Units, Regne Unit i Corea del Sur varen publicar un avís conjunt que va atribuir al grup el robo d'informació tècnica i secrets militars per a favorir els programes nuclears i de defensa nortcoreans.[8] Eixe mateix més, el Departament de Justícia nortamericana va acusar a Rim Jong Hyok, supost integrant d'Andariel, per atacs en el ransomware Maui contra hospitals nortamericans i per amprar els ingressos obtinguts per a finançar intrusions posteriors contra organismes públics i contractistes de defensa.[22]

Entre novembre de 2024 i febrer de 2025, Kaspersky va observar la denominada Operation SyncHole, dirigida contra organisacions surcoreanes de programes informàtics, tecnologies de l'informació, finances, semiconductors i telecomunicacions. La campanya va combinar llocs web compromesos, explotació de vulnerabilitats en programes surcoreans i vàries portes atrasseres relacionades en Lazarus.[23]

Atacs a cadenes de suministrament

Lazarus i els clústers associats han recorregut de forma creixent al compromís de proveïdors de software per a alcançar a atres organisacions. En març de 2023 es va descobrir que versions firmades de l'aplicació de comunicacions 3CX havien segut distribuïdes en còdic maliciós. Mandiant va concloure en confiança moderada que l'intrusió estava relacionada en l'activitat AppleJeus i que l'entorn de 3CX havia segut compromés en acabant de que un empleat instalara prèviament una aplicació financera manipulada denominada X_TRADER; l'incident va constituir, per tant, una cadena de suministrament encadenada.[24] ESET també va relacionar en alta confiança el conjunt de ferramentes amprat en Lazarus.[25]

El 31 de març de 2026, versions malicioses de la biblioteca de JavaScript Axios varen ser publicades durant unes tres hores en el registre npm despuix del compromís de credencials d'un mantenedor. El proyecte Axios va confirmar que les versions 1.14.1 i 0.30.4 incorporaven una dependència maliciosa i va recomanar la seua retirada immediata.[26] CrowdStrike va atribuir el compromís en confiança moderada a STARDUST CHOLLIMA, denominació que l'empresa aplica a activitat financera nortcoreana, pero eixa atribució no havia rebut fins a juliol de 2026 una confirmació pública governamental equivalent.[27]

Vore també

Referències

  1. ↑ 1,0 1,1 1,2 1,3 «Lazarus Group, G0032» (en en). MITRE ATT&CK. Consultat el 19 de juliol de 2026.
  2. ↑ 2,0 2,1 2,2 2,3 2,4 2,5 «Treasury Sanctions North Korean State-Sponsored Malicious Cyber Groups» (en en). Departament del Tesor dels Estats Units (13 de setembre de 2019). Consultat el 19 de juliol de 2026.
  3. ↑ 3,0 3,1 «Not Baix Lazarus: Mapping DPRK Cyber Threat Groups to Government Organizations» (en en). Google Cloud Blog / Mandiant. Consultat el 19 de juliol de 2026.
  4. ↑ 4,0 4,1 4,2 «FBI, DC3, and NPA Identification of North Korean Cyber Actors Tracked as TraderTraitor Responsible for Theft of $308 Million from Bitcoin. DMM. com» (en en). Federal Bureau of Investigation (23 de decembre de 2024). Consultat el 19 de juliol de 2026.
  5. ↑ 5,0 5,1 5,2 «North Korea Responsible for $1.5 Billion Bybit Hack» (en en). Federal Bureau of Investigation (26 de febrer de 2025). Consultat el 19 de juliol de 2026.
  6. ↑ 6,0 6,1 6,2 «Operation Blockbuster: Unraveling the Long Thread of the Sony Attack» (en en) (PDF). Novetta (24 de febrer de 2016). Consultat el 19 de juliol de 2026.
  7. ↑ 7,0 7,1 «APT38, G0082» (en en). MITRE ATT&CK. Consultat el 19 de juliol de 2026.
  8. ↑ 8,0 8,1 «North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime’s Military and Nuclear Programs» (en en). Cybersecurity and Infrastructure Security Agency (25 de juliol de 2024). Consultat el 19 de juliol de 2026.
  9. ↑ 9,0 9,1 «TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies» (en en). Cybersecurity and Infrastructure Security Agency (20 d'abril de 2022). Consultat el 19 de juliol de 2026.
  10. ↑ «Treasury Targets DPRK Malicious Cyber and Illicit IT Worker Activities» (en en). Departament del Tesor dels Estats Units (23 de maig de 2023). Consultat el 19 de juliol de 2026.
  11. ↑ «South Korean Malware Attack» (en en) (PDF). National Cybersecurity and Communications Integration Center (26 de juny de 2013). Consultat el 19 de juliol de 2026.
  12. ↑ «Update on Sony Investigation» (en en). Federal Bureau of Investigation (19 de decembre de 2014). Consultat el 19 de juliol de 2026.
  13. ↑ 13,0 13,1 «North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions» (en en). Departament de Justícia dels Estats Units (6 de setembre de 2018). Consultat el 19 de juliol de 2026.
  14. ↑ 14,0 14,1 «Three North Korean Military Hackers Indicted in Wide-Ranging Scheme to Commit Cyberattacks and Financial Crimes Across the Globe» (en en). Departament de Justícia dels Estats Units (17 de febrer de 2021). Consultat el 19 de juliol de 2026.
  15. ↑ «FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks» (en en) (PDF). Cybersecurity and Infrastructure Security Agency (26 d'agost de 2020). Consultat el 19 de juliol de 2026.
  16. ↑ 16,0 16,1 «UK supports US charges against North Korean cyber actors» (en en). National Cyber Security Centre (17 de febrer de 2021). Consultat el 19 de juliol de 2026.
  17. ↑ «AppleJeus: CoinGoTrade» (en en). Cybersecurity and Infrastructure Security Agency (17 de febrer de 2021). Consultat el 19 de juliol de 2026.
  18. ↑ «O. S. Treasury Issues First-Ever Sanctions on a Virtual Currency Mixer, Targets DPRK Cyber Threats» (en en). Departament del Tesor dels Estats Units (6 de maig de 2022). Consultat el 19 de juliol de 2026.
  19. ↑ «Operation Dream Job, C0022» (en en). MITRE ATT&CK. Consultat el 19 de juliol de 2026.
  20. ↑ «Lazarus luring employees with trojanized coding challenges: The case of a Spanish aerospace company» (en en). WeLiveSecurity / ESET (29 de setembre de 2023). Consultat el 19 de juliol de 2026.
  21. ↑ «Gotta fly: Lazarus targets the UAV sector» (en en). WeLiveSecurity / ESET (23 d'octubre de 2025). Consultat el 19 de juliol de 2026.
  22. ↑ «North Korean Government Hacker Charged for Involvement in Ransomware Attacks Targeting O. S. Hospitals and Health Care Providers» (en en). Departament de Justícia dels Estats Units (25 de juliol de 2024). Consultat el 19 de juliol de 2026.
  23. ↑ «Operation SyncHole: Lazarus targets South Korea with a watering hole and software vulnerabilities» (en en). Securelist / Kaspersky (24 d'abril de 2025). Consultat el 19 de juliol de 2026.
  24. ↑ «3CX Software Supply Chain Compromise Initiated by a Prior Software Supply Chain Compromise; Suspected North Korean Actor Responsible» (en en). Google Cloud Blog / Mandiant (20 d'abril de 2023). Consultat el 19 de juliol de 2026.
  25. ↑ «Linux malware strengthens links between Lazarus and the 3CX supply-chain attack» (en en). WeLiveSecurity / ESET (20 d'abril de 2023). Consultat el 19 de juliol de 2026.
  26. ↑ «Security Incident Postmortem: Malicious npm Package Versions 1.14.1 and 0.30.4» (en en). GitHub / Axios (2 d'abril de 2026). Consultat el 19 de juliol de 2026.
  27. ↑ «STARDUST CHOLLIMA Likely Compromises Axios npm Package» (en en). CrowdStrike (1 d'abril de 2026). Consultat el 19 de juliol de 2026.


Obtingut de «https://lenciclopedia.org/w/index.php?title=Lazarus_Group&oldid=1256878»