Lazarus Group

Lazarus Group (znana też jako Hidden Cobra, Guardians of Peace, ZINC lub Diamond Sleet) – grupa hakerska klasyfikowana jako zaawansowane trwałe zagrożenie (APT), której działalność analitycy i rządy państw zachodnich przypisują Korei Północnej[1][2]. Uważana jest za sprawcę jednych z najgłośniejszych cyberataków XXI wieku, m.in. włamania do Sony Pictures Entertainment (2014), napadu na Bank Bangladeszu (2016), globalnej epidemii ransomware WannaCry (2017) oraz serii kradzieży kryptowalut, w tym rekordowego okradzenia giełdy Bybit w 2025 roku na około 1,5 miliarda dolarów[3][4]. Według amerykańskiego Departamentu Sprawiedliwości grupa jest częścią strategii władz Korei Północnej zmierzającej do „podważania globalnego cyberbezpieczeństwa i generowania nielegalnych dochodów z naruszeniem sankcji”[3]. W 2017 roku grupie przypisano również atak na polski sektor finansowy przeprowadzony za pośrednictwem zainfekowanej strony Komisji Nadzoru Finansowego[5].

Atrybucja i struktura

Nazwę „Lazarus Group” spopularyzowali badacze bezpieczeństwa, którzy w ramach ogłoszonej w 2016 roku operacji „Blockbuster” (koalicja firm pod przewodnictwem Novetty) powiązali atak na Sony z wcześniejszymi kampaniami, analizując wielokrotne użycie tego samego kodu w dziesiątkach rodzin złośliwego oprogramowania[6]. Poszczególne firmy używają dla tej aktywności własnych oznaczeń – amerykańska administracja stosuje nazwę Hidden Cobra, Microsoft określał grupę jako ZINC, a następnie Diamond Sleet – przy czym nazwy te nie zawsze opisują dokładnie ten sam zbiór operacji, dlatego „Lazarus” bywa traktowany raczej jako określenie parasolowe dla północnokoreańskiego ekosystemu cyberoperacji niż pojedynczego, stałego zespołu[1][2]. Techniki i narzędzia grupy są katalogowane m.in. w bazie MITRE ATT&CK pod oznaczeniem G0032[1]. Sami badacze zastrzegają też, że powtórzenia kodu mogą być celową fałszywą flagą mającą zmylić śledczych[7].

W ramach grupy wyodrębnia się wyspecjalizowane podgrupy. Bluenoroff (nazywana też APT38 lub Stardust Chollima) koncentruje się na atakach finansowych – od fałszywych zleceń w sieci SWIFT po kradzieże kryptowalut – a jej łupy mają zasilać program rakietowy i nuklearny reżimu; Andariel (Silent Chollima) specjalizuje się w operacjach przeciwko Korei Południowej oraz szpiegostwie przemysłowo-wojskowym[8][7]. We wrześniu 2019 roku wszystkie trzy podmioty (Lazarus, Bluenoroff i Andariel) zostały objęte sankcjami amerykańskiego Departamentu Skarbu jako grupy sponsorowane przez państwo północnokoreańskie[8]; w kwietniu 2022 roku sankcje rozszerzono o portfele kryptowalutowe grupy[9].

Historia działalności

Za najwcześniejszą operację grupy uznaje się „Operation Troy” – rozpoczętą 4 lipca 2009 roku kampanię prymitywnych ataków DDoS (z użyciem złośliwego oprogramowania pochodnego od robaka Mydoom) na strony rządowe Stanów Zjednoczonych i Korei Południowej[10]. Kolejne kampanie przeciwko Korei Południowej – „Ten Days of Rain” (2011) i „DarkSeoul” (2013), w której złośliwe oprogramowanie typu wiper sparaliżowało stacje telewizyjne i banki – pokazały rosnące umiejętności napastników; dopiero późniejsze analizy powiązały te ataki z Lazarus Group[10][6].

24 listopada 2014 roku grupa, podpisująca się wówczas jako „Guardians of Peace”, przeprowadziła głośny atak na Sony Pictures Entertainment: wykradła i stopniowo ujawniała niepublikowane filmy, scenariusze, korespondencję zarządu i dane około 4 tysięcy pracowników, żądając m.in. wstrzymania premiery komedii Wywiad ze Słońcem Narodu o zamachu na Kim Dzong Una[11].

W lutym 2016 roku podgrupa finansowa przeprowadziła napad na Bank Bangladeszu: za pomocą 35 fałszywych zleceń w systemie SWIFT próbowano wytransferować z jego rachunku w Banku Rezerwy Federalnej w Nowym Jorku blisko miliard dolarów; skutecznie wyprowadzono 81 milionów dolarów, a resztę przelewów zablokowano po tym, jak uwagę pracowników zwróciła literówka w jednym ze zleceń[3][8]. Wcześniej podobne ataki dotknęły banki w Ekwadorze i Wietnamie[10].

Atak na polski sektor finansowy (2017)

Na początku lutego 2017 roku serwis Zaufana Trzecia Strona ujawnił, że co najmniej kilka polskich banków wykryło w swoich sieciach zaawansowane złośliwe oprogramowanie, a źródłem infekcji była zainfekowana od października 2016 roku witryna Komisji Nadzoru Finansowego – instytucji nadzorującej polski rynek finansowy[12]. Był to atak typu watering hole: zamiast atakować każdy bank z osobna, napastnicy umieścili złośliwy kod na często odwiedzanej przez bankowców stronie regulatora[12][13]. Analizy firm Symantec, BAE Systems i Kaspersky wykazały, że kampania obejmowała także instytucje finansowe w Meksyku i Urugwaju, a jej narzędzia i infrastruktura wskazywały na Lazarus Group[13][5][14]. Był to pierwszy tak poważny udokumentowany atak grupy APT na polski sektor bankowy[12].

WannaCry (2017)

12 maja 2017 roku ransomware WannaCry w ciągu kilkunastu godzin zainfekował według Europolu około 200 tysięcy komputerów w 150 krajach, paraliżując m.in. brytyjską służbę zdrowia[15]. Robak rozprzestrzeniał się samoczynnie dzięki exploitowi EternalBlue, opracowanemu przez amerykańską NSA i ujawnionemu przez grupę Shadow Brokers; epidemię zatrzymało odkrycie w kodzie „wyłącznika awaryjnego” przez brytyjskiego badacza[15]. Atak został oficjalnie przypisany Lazarus Group przez władze Stanów Zjednoczonych i Wielkiej Brytanii[3].

Kradzieże kryptowalut

Od 2017 roku głównym źródłem dochodów grupy stały się kradzieże kryptowalut. Początkowo celem były południowokoreańskie giełdy – m.in. Bithumb i Youbit, który po utracie 17% aktywów ogłosił upadłość[16]. W marcu 2022 roku FBI przypisało grupie kradzież kryptowalut o wartości 620 milionów dolarów z sieci Ronin obsługującej grę Axie Infinity[17], a w kolejnych latach – m.in. kradzieże 100 milionów dolarów z mostu Horizon platformy Harmony[18] i 41 milionów dolarów z kasyna internetowego Stake.com[19]. Według platformy Immunefi w samym 2023 roku grupa odpowiadała za straty przekraczające 300 milionów dolarów, czyli niemal jedną piątą wszystkich ówczesnych strat rynku kryptowalut[20].

W lutym 2025 roku grupa dokonała największej kradzieży w historii rynku kryptowalut: z giełdy Bybit wyprowadzono około 400 tysięcy ethereum o wartości około 1,5 miliarda dolarów, uzyskując dostęp do portfela giełdy przez skompromitowane narzędzie zewnętrznego dostawcy; atak przypisały grupie FBI oraz analitycy blockchain[4][21]. Dochody z kradzieży kryptowalut mają według ekspertów ONZ finansować północnokoreańskie programy zbrojeniowe – panel monitorujący sankcje wskazał, że w latach 2017–2024 Korea Północna mogła przeprowadzić 97 ataków na firmy kryptowalutowe, kradnąc około 3,6 miliarda dolarów[22].

Szpiegostwo i ataki na łańcuch dostaw

Obok operacji finansowych grupa prowadzi kampanie szpiegowskie. W ramach operacji „Dream Job” jej członkowie podszywają się pod rekruterów i za pomocą fałszywych ofert pracy oraz „zadań rekrutacyjnych” z ukrytym złośliwym oprogramowaniem atakują pracowników sektorów obronnego, lotniczego i technologicznego[23][24]. Pod koniec 2020 roku celem kampanii spear-phishingowych grupy były koncerny farmaceutyczne pracujące nad szczepionkami przeciw COVID-19, w tym AstraZeneca[25], a na początku 2021 roku – badacze bezpieczeństwa, wabieni przez fałszywe profile „kolegów po fachu” w mediach społecznościowych[26]. W 2023 roku z aktywnością powiązaną z grupą połączono atak na łańcuch dostaw oprogramowania komunikacyjnego 3CX, w którym podpisane cyfrowo wersje aplikacji dystrybuowały złośliwy kod[27].

Oskarżenia

We wrześniu 2018 roku amerykański Departament Sprawiedliwości postawił zarzuty Parkowi Jin Hyokowi, programiście powiązanemu z północnokoreańskim wywiadem wojskowym, w związku z atakiem na Sony, napadem na Bank Bangladeszu i WannaCry[3]. W lutym 2021 roku akt oskarżenia rozszerzono o dwóch kolejnych funkcjonariuszy Biura Generalnego Rozpoznania – Jona Chang Hyoka i Kima Il – obejmując nim także kradzieże kryptowalut i fałszywe aplikacje finansowe; żaden z oskarżonych nie znajduje się w rękach amerykańskiego wymiaru sprawiedliwości[28].

Zobacz też

Przypisy

  1. 1 2 3 Lazarus Group, Group G0032. MITRE ATT&CK. [dostęp 2026-08-21]. (ang.).
  2. 1 2 HIDDEN COBRA – North Korea's DDoS Botnet Infrastructure. CISA, 2017-06-13. [dostęp 2026-08-21]. (ang.).
  3. 1 2 3 4 5 North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions. United States Department of Justice, 2018-09-06. [dostęp 2026-08-21]. (ang.).
  4. 1 2 Największa kradzież kryptowalut z giełdy ByBit. FBI wskazuje palcem na Koreę Północną. Bankier.pl, 2025-02-27. [dostęp 2026-08-21]. (pol.).
  5. 1 2 Czy strona KNF infekowała banki?. Rzeczpospolita, 2017-04-11. [dostęp 2026-08-21]. (pol.).
  6. 1 2 Operation Blockbuster: Unraveling the Long Thread of the Sony Attack. Novetta, 2016-02. [dostęp 2026-08-21]. (ang.).
  7. 1 2 Lazarus Under The Hood. Securelist (Kaspersky Lab), 2017-04-03. [dostęp 2026-08-21]. (ang.).
  8. 1 2 3 Treasury Sanctions North Korean State-Sponsored Malicious Cyber Groups. United States Department of the Treasury, 2019-09-13. [dostęp 2026-08-21]. (ang.).
  9. ↑ North Korea Designation Update. United States Department of the Treasury, 2022-04-14. [dostęp 2026-08-21]. (ang.).
  10. 1 2 3 Kim Zetter: The Sony Hackers Were Causing Mayhem Years Before They Hit the Company. Wired, 2016-02-24. [dostęp 2026-08-21]. (ang.).
  11. ↑ Kim Zetter: Sony Got Hacked Hard: What We Know and Don't Know So Far. Wired, 2014-12-04. [dostęp 2026-08-21]. (ang.).
  12. 1 2 3 Włamania do kilku banków skutkiem poważnego ataku na polski sektor finansowy. Zaufana Trzecia Strona, 2017-02-03. [dostęp 2026-08-21]. (pol.).
  13. 1 2 Atak na polskie banki poprzez malware na stronach KNF to tylko część większej kampanii…. Sekurak, 2017-02-14. [dostęp 2026-08-21]. (pol.).
  14. ↑ Koreański trop w cyberataku na polskie banki. Bankier.pl, 2017-02-13. [dostęp 2026-08-21]. (pol.).
  15. 1 2 Olivia Solon: WannaCry ransomware has links to North Korea, cybersecurity experts say. The Guardian, 2017-05-15. [dostęp 2026-08-21]. (ang.).
  16. ↑ Arjun Kharpal: North Korea government-backed hackers are trying to steal cryptocurrency from South Korean users. CNBC, 2018-01-17. [dostęp 2026-08-21]. (ang.).
  17. ↑ North Korean hackers target gamers in $615m crypto heist – US. BBC News, 2022-04-15. [dostęp 2026-08-21]. (ang.).
  18. ↑ FBI Confirms Lazarus Group Cyber Actors Responsible for Harmony's Horizon Bridge Currency Theft. Federal Bureau of Investigation, 2023-01-23. [dostęp 2026-08-21]. (ang.).
  19. ↑ FBI Identifies Lazarus Group Cyber Actors as Responsible for Theft of $41 Million from Stake.com. Federal Bureau of Investigation, 2023-09-06. [dostęp 2026-08-21]. (ang.).
  20. ↑ North Korea–linked Lazarus Group responsible for nearly 20% of crypto losses in 2023. Fortune, 2023-12-14. [dostęp 2026-08-21]. (ang.).
  21. ↑ North Korean hackers suspected of being behind record US$1.5 billion hack of crypto exchange Bybit. CNA, 2025-02-22. [dostęp 2026-08-21]. (ang.).
  22. ↑ Hakerzy z Korei Północnej wykradli kryptowalutę o wartości 42 mln dol.. Bankier.pl, 2024-12. [dostęp 2026-08-21]. (pol.).
  23. ↑ Operation Dream Job, Campaign C0022. MITRE ATT&CK. [dostęp 2026-08-21]. (ang.).
  24. ↑ Lazarus luring employees with trojanized coding challenges: The case of a Spanish aerospace company. WeLiveSecurity (ESET), 2023-09-29. [dostęp 2026-08-21]. (ang.).
  25. ↑ Jack Stubbs: Exclusive: Suspected North Korean hackers targeted COVID vaccine maker AstraZeneca – sources. Reuters, 2020-11-27. [dostęp 2026-08-21]. (ang.).
  26. ↑ New campaign targeting security researchers. Google Threat Analysis Group, 2021-01-25. [dostęp 2026-08-21]. (ang.).
  27. ↑ 3CX Software Supply Chain Compromise Initiated by a Prior Software Supply Chain Compromise. Mandiant (Google Cloud), 2023-04-20. [dostęp 2026-08-21]. (ang.).
  28. ↑ Three North Korean Military Hackers Indicted in Wide-Ranging Scheme to Commit Cyberattacks and Financial Crimes Across the Globe. United States Department of Justice, 2021-02-17. [dostęp 2026-08-21]. (ang.).

Linki zewnętrzne

This article is issued from Wikipedia. The text is available under Creative Commons Attribution-Share Alike 4.0 unless otherwise noted. Additional terms may apply for the media files.