Lazarus Group (znana też jako Hidden Cobra, Guardians of Peace, ZINC lub Diamond Sleet) – grupa hakerska klasyfikowana jako zaawansowane trwałe zagrożenie (APT), której działalność analitycy i rządy państw zachodnich przypisują Korei Północnej. Uważana jest za sprawcę jednych z najgłośniejszych cyberataków XXI wieku, m.in. włamania do Sony Pictures Entertainment (2014), napadu na Bank Bangladeszu (2016), globalnej epidemii ransomware WannaCry (2017) oraz serii kradzieży kryptowalut, w tym rekordowego okradzenia giełdy Bybit w 2025 roku na około 1,5 miliarda dolarów. Według amerykańskiego Departamentu Sprawiedliwości grupa jest częścią strategii władz Korei Północnej zmierzającej do „podważania globalnego cyberbezpieczeństwa i generowania nielegalnych dochodów z naruszeniem sankcji”. W 2017 roku grupie przypisano również atak na polski sektor finansowy przeprowadzony za pośrednictwem zainfekowanej strony Komisji Nadzoru Finansowego.
Atrybucja i struktura Nazwę „Lazarus Group” spopularyzowali badacze bezpieczeństwa, którzy w ramach ogłoszonej w 2016 roku operacji „Blockbuster” (koalicja firm pod przewodnictwem Novetty) powiązali atak na Sony z wcześniejszymi kampaniami, analizując wielokrotne użycie tego samego kodu w dziesiątkach rodzin złośliwego oprogramowania. Poszczególne firmy używają dla tej aktywności własnych oznaczeń – amerykańska administracja stosuje nazwę Hidden Cobra, Microsoft określał grupę jako ZINC, a następnie Diamond Sleet – przy czym nazwy te nie zawsze opisują dokładnie ten sam zbiór operacji, dlatego „Lazarus” bywa traktowany raczej jako określenie parasolowe dla północnokoreańskiego ekosystemu cyberoperacji niż pojedynczego, stałego zespołu. Techniki i narzędzia grupy są katalogowane m.in. w bazie MITRE ATT&CK pod oznaczeniem G0032. Sami badacze zastrzegają też, że powtórzenia kodu mogą być celową fałszywą flagą mającą zmylić śledczych.
W ramach grupy wyodrębnia się wyspecjalizowane podgrupy. Bluenoroff (nazywana też APT38 lub Stardust Chollima) koncentruje się na atakach finansowych – od fałszywych zleceń w sieci SWIFT po kradzieże kryptowalut – a jej łupy mają zasilać program rakietowy i nuklearny reżimu; Andariel (Silent Chollima) specjalizuje się w operacjach przeciwko Korei Południowej oraz szpiegostwie przemysłowo-wojskowym. We wrześniu 2019 roku wszystkie trzy podmioty (Lazarus, Bluenoroff i Andariel) zostały objęte sankcjami amerykańskiego Departamentu Skarbu jako grupy sponsorowane przez państwo północnokoreańskie; w kwietniu 2022 roku sankcje rozszerzono o portfele kryptowalutowe grupy.
Historia działalności Za najwcześniejszą operację grupy uznaje się „Operation Troy” – rozpoczętą 4 lipca 2009 roku kampanię prymitywnych ataków DDoS (z użyciem złośliwego oprogramowania pochodnego od robaka Mydoom) na strony rządowe Stanów Zjednoczonych i Korei Południowej. Kolejne kampanie przeciwko Korei Południowej – „Ten Days of Rain” (2011) i „DarkSeoul” (2013), w której złośliwe oprogramowanie typu wiper sparaliżowało stacje telewizyjne i banki – pokazały rosnące umiejętności napastników; dopiero późniejsze analizy powiązały te ataki z Lazarus Group.
24 listopada 2014 roku grupa, podpisująca się wówczas jako „Guardians of Peace”, przeprowadziła głośny atak na Sony Pictures Entertainment: wykradła i stopniowo ujawniała niepublikowane filmy, scenariusze, korespondencję zarządu i dane około 4 tysięcy pracowników, żądając m.in. wstrzymania premiery komedii Wywiad ze Słońcem Narodu o zamachu na Kim Dzong Una.
W lutym 2016 roku podgrupa finansowa przeprowadziła napad na Bank Bangladeszu: za pomocą 35 fałszywych zleceń w systemie SWIFT próbowano wytransferować z jego rachunku w Banku Rezerwy Federalnej w Nowym Jorku blisko miliard dolarów; skutecznie wyprowadzono 81 milionów dolarów, a resztę przelewów zablokowano po tym, jak uwagę pracowników zwróciła literówka w jednym ze zleceń. Wcześniej podobne ataki dotknęły banki w Ekwadorze i Wietnamie.
Atak na polski sektor finansowy (2017) Na początku lutego 2017 roku serwis Zaufana Trzecia Strona ujawnił, że co najmniej kilka polskich banków wykryło w swoich sieciach zaawansowane złośliwe oprogramowanie, a źródłem infekcji była zainfekowana od października 2016 roku witryna Komisji Nadzoru Finansowego – instytucji nadzorującej polski rynek finansowy. Był to atak typu watering hole: zamiast atakować każdy bank z osobna, napastnicy umieścili złośliwy kod na często odwiedzanej przez bankowców stronie regulatora. Analizy firm Symantec, BAE Systems i Kaspersky wykazały, że kampania obejmowała także instytucje finansowe w Meksyku i Urugwaju, a jej narzędzia i infrastruktura wskazywały na Lazarus Group. Był to pierwszy tak poważny udokumentowany atak grupy APT na polski sektor bankowy.
WannaCry (2017) 12 maja 2017 roku ransomware WannaCry w ciągu kilkunastu godzin zainfekował według Europolu około 200 tysięcy komputerów w 150 krajach, paraliżując m.in. brytyjską służbę zdrowia. Robak rozprzestrzeniał się samoczynnie dzięki exploitowi EternalBlue, opracowanemu przez amerykańską NSA i ujawnionemu przez grupę Shadow Brokers; epidemię zatrzymało odkrycie w kodzie „wyłącznika awaryjnego” przez brytyjskiego badacza. Atak został oficjalnie przypisany Lazarus Group przez władze Stanów Zjednoczonych i Wielkiej Brytanii.
Kradzieże kryptowalut Od 2017 roku głównym źródłem dochodów grupy stały się kradzieże kryptowalut. Początkowo celem były południowokoreańskie giełdy – m.in. Bithumb i Youbit, który po utracie 17% aktywów ogłosił upadłość. W marcu 2022 roku FBI przypisało grupie kradzież kryptowalut o wartości 620 milionów dolarów z sieci Ronin obsługującej grę Axie Infinity, a w kolejnych latach – m.in. kradzieże 100 milionów dolarów z mostu Horizon platformy Harmony i 41 milionów dolarów z kasyna internetowego Stake.com. Według platformy Immunefi w samym 2023 roku grupa odpowiadała za straty przekraczające 300 milionów dolarów, czyli niemal jedną piątą wszystkich ówczesnych strat rynku kryptowalut.
W lutym 2025 roku grupa dokonała największej kradzieży w historii rynku kryptowalut: z giełdy Bybit wyprowadzono około 400 tysięcy ethereum o wartości około 1,5 miliarda dolarów, uzyskując dostęp do portfela giełdy przez skompromitowane narzędzie zewnętrznego dostawcy; atak przypisały grupie FBI oraz analitycy blockchain. Dochody z kradzieży kryptowalut mają według ekspertów ONZ finansować północnokoreańskie programy zbrojeniowe – panel monitorujący sankcje wskazał, że w latach 2017–2024 Korea Północna mogła przeprowadzić 97 ataków na firmy kryptowalutowe, kradnąc około 3,6 miliarda dolarów.
Szpiegostwo i ataki na łańcuch dostaw Obok operacji finansowych grupa prowadzi kampanie szpiegowskie. W ramach operacji „Dream Job” jej członkowie podszywają się pod rekruterów i za pomocą fałszywych ofert pracy oraz „zadań rekrutacyjnych” z ukrytym złośliwym oprogramowaniem atakują pracowników sektorów obronnego, lotniczego i technologicznego. Pod koniec 2020 roku celem kampanii spear-phishingowych grupy były koncerny farmaceutyczne pracujące nad szczepionkami przeciw COVID-19, w tym AstraZeneca, a na początku 2021 roku – badacze bezpieczeństwa, wabieni przez fałszywe profile „kolegów po fachu” w mediach społecznościowych. W 2023 roku z aktywnością powiązaną z grupą połączono atak na łańcuch dostaw oprogramowania komunikacyjnego 3CX, w którym podpisane cyfrowo wersje aplikacji dystrybuowały złośliwy kod.
Oskarżenia We wrześniu 2018 roku amerykański Departament Sprawiedliwości postawił zarzuty Parkowi Jin Hyokowi, programiście powiązanemu z północnokoreańskim wywiadem wojskowym, w związku z atakiem na Sony, napadem na Bank Bangladeszu i WannaCry. W lutym 2021 roku akt oskarżenia rozszerzono o dwóch kolejnych funkcjonariuszy Biura Generalnego Rozpoznania – Jona Chang Hyoka i Kima Il – obejmując nim także kradzieże kryptowalut i fałszywe aplikacje finansowe; żaden z oskarżonych nie znajduje się w rękach amerykańskiego wymiaru sprawiedliwości.
Zobacz też APT28 APT29 Equation Group
Przypisy
Linki zewnętrzne The Lazarus Heist – serial podcastowy BBC World Service
Kategoria:Grupy hakerskie Kategoria:Polityka Korei Północnej