Lazarus Group

Lazarus Group (znana też jako Hidden Cobra, Guardians of Peace, ZINC lub Diamond Sleet) – grupa hakerska klasyfikowana jako zaawansowane trwałe zagrożenie (APT), której działalność analitycy i rządy państw zachodnich przypisują Korei Północnej^[1][2]. Uważana jest za sprawcę jednych z najgłośniejszych cyberataków XXI wieku, m.in. włamania do Sony Pictures Entertainment (2014), napadu na Bank Bangladeszu (2016), globalnej epidemii ransomware WannaCry (2017) oraz serii kradzieży kryptowalut, w tym rekordowego okradzenia giełdy Bybit w 2025 roku na około 1,5 miliarda dolarów^[3][4]. Według amerykańskiego Departamentu Sprawiedliwości grupa jest częścią strategii władz Korei Północnej zmierzającej do „podważania globalnego cyberbezpieczeństwa i generowania nielegalnych dochodów z naruszeniem sankcji”^[3]. W 2017 roku grupie przypisano również atak na polski sektor finansowy przeprowadzony za pośrednictwem zainfekowanej strony Komisji Nadzoru Finansowego^[5].

Nazwę „Lazarus Group” spopularyzowali badacze bezpieczeństwa, którzy w ramach ogłoszonej w 2016 roku operacji „Blockbuster” (koalicja firm pod przewodnictwem Novetty) powiązali atak na Sony z wcześniejszymi kampaniami, analizując wielokrotne użycie tego samego kodu w dziesiątkach rodzin złośliwego oprogramowania^[6]. Poszczególne firmy używają dla tej aktywności własnych oznaczeń – amerykańska administracja stosuje nazwę Hidden Cobra, Microsoft określał grupę jako ZINC, a następnie Diamond Sleet – przy czym nazwy te nie zawsze opisują dokładnie ten sam zbiór operacji, dlatego „Lazarus” bywa traktowany raczej jako określenie parasolowe dla północnokoreańskiego ekosystemu cyberoperacji niż pojedynczego, stałego zespołu^[1][2]. Techniki i narzędzia grupy są katalogowane m.in. w bazie MITRE ATT&CK pod oznaczeniem G0032^[1]. Sami badacze zastrzegają też, że powtórzenia kodu mogą być celową fałszywą flagą mającą zmylić śledczych^[7].

W ramach grupy wyodrębnia się wyspecjalizowane podgrupy. Bluenoroff (nazywana też APT38 lub Stardust Chollima) koncentruje się na atakach finansowych – od fałszywych zleceń w sieci SWIFT po kradzieże kryptowalut – a jej łupy mają zasilać program rakietowy i nuklearny reżimu; Andariel (Silent Chollima) specjalizuje się w operacjach przeciwko Korei Południowej oraz szpiegostwie przemysłowo-wojskowym^[8][7]. We wrześniu 2019 roku wszystkie trzy podmioty (Lazarus, Bluenoroff i Andariel) zostały objęte sankcjami amerykańskiego Departamentu Skarbu jako grupy sponsorowane przez państwo północnokoreańskie^[8]; w kwietniu 2022 roku sankcje rozszerzono o portfele kryptowalutowe grupy^[9].

Za najwcześniejszą operację grupy uznaje się „Operation Troy” – rozpoczętą 4 lipca 2009 roku kampanię prymitywnych ataków DDoS (z użyciem złośliwego oprogramowania pochodnego od robaka Mydoom) na strony rządowe Stanów Zjednoczonych i Korei Południowej^[10]. Kolejne kampanie przeciwko Korei Południowej – „Ten Days of Rain” (2011) i „DarkSeoul” (2013), w której złośliwe oprogramowanie typu wiper sparaliżowało stacje telewizyjne i banki – pokazały rosnące umiejętności napastników; dopiero późniejsze analizy powiązały te ataki z Lazarus Group^[10][6].

24 listopada 2014 roku grupa, podpisująca się wówczas jako „Guardians of Peace”, przeprowadziła głośny atak na Sony Pictures Entertainment: wykradła i stopniowo ujawniała niepublikowane filmy, scenariusze, korespondencję zarządu i dane około 4 tysięcy pracowników, żądając m.in. wstrzymania premiery komedii Wywiad ze Słońcem Narodu o zamachu na Kim Dzong Una^[11].

W lutym 2016 roku podgrupa finansowa przeprowadziła napad na Bank Bangladeszu: za pomocą 35 fałszywych zleceń w systemie SWIFT próbowano wytransferować z jego rachunku w Banku Rezerwy Federalnej w Nowym Jorku blisko miliard dolarów; skutecznie wyprowadzono 81 milionów dolarów, a resztę przelewów zablokowano po tym, jak uwagę pracowników zwróciła literówka w jednym ze zleceń^[3][8]. Wcześniej podobne ataki dotknęły banki w Ekwadorze i Wietnamie^[10].

Na początku lutego 2017 roku serwis Zaufana Trzecia Strona ujawnił, że co najmniej kilka polskich banków wykryło w swoich sieciach zaawansowane złośliwe oprogramowanie, a źródłem infekcji była zainfekowana od października 2016 roku witryna Komisji Nadzoru Finansowego – instytucji nadzorującej polski rynek finansowy^[12]. Był to atak typu watering hole: zamiast atakować każdy bank z osobna, napastnicy umieścili złośliwy kod na często odwiedzanej przez bankowców stronie regulatora^[12][13]. Analizy firm Symantec, BAE Systems i Kaspersky wykazały, że kampania obejmowała także instytucje finansowe w Meksyku i Urugwaju, a jej narzędzia i infrastruktura wskazywały na Lazarus Group^[13][5][14]. Był to pierwszy tak poważny udokumentowany atak grupy APT na polski sektor bankowy^[12].

12 maja 2017 roku ransomware WannaCry w ciągu kilkunastu godzin zainfekował według Europolu około 200 tysięcy komputerów w 150 krajach, paraliżując m.in. brytyjską służbę zdrowia^[15]. Robak rozprzestrzeniał się samoczynnie dzięki exploitowi EternalBlue, opracowanemu przez amerykańską NSA i ujawnionemu przez grupę Shadow Brokers; epidemię zatrzymało odkrycie w kodzie „wyłącznika awaryjnego” przez brytyjskiego badacza^[15]. Atak został oficjalnie przypisany Lazarus Group przez władze Stanów Zjednoczonych i Wielkiej Brytanii^[3].

Od 2017 roku głównym źródłem dochodów grupy stały się kradzieże kryptowalut. Początkowo celem były południowokoreańskie giełdy – m.in. Bithumb i Youbit, który po utracie 17% aktywów ogłosił upadłość^[16]. W marcu 2022 roku FBI przypisało grupie kradzież kryptowalut o wartości 620 milionów dolarów z sieci Ronin obsługującej grę Axie Infinity^[17], a w kolejnych latach – m.in. kradzieże 100 milionów dolarów z mostu Horizon platformy Harmony^[18] i 41 milionów dolarów z kasyna internetowego Stake.com^[19]. Według platformy Immunefi w samym 2023 roku grupa odpowiadała za straty przekraczające 300 milionów dolarów, czyli niemal jedną piątą wszystkich ówczesnych strat rynku kryptowalut^[20].

W lutym 2025 roku grupa dokonała największej kradzieży w historii rynku kryptowalut: z giełdy Bybit wyprowadzono około 400 tysięcy ethereum o wartości około 1,5 miliarda dolarów, uzyskując dostęp do portfela giełdy przez skompromitowane narzędzie zewnętrznego dostawcy; atak przypisały grupie FBI oraz analitycy blockchain^[4][21]. Dochody z kradzieży kryptowalut mają według ekspertów ONZ finansować północnokoreańskie programy zbrojeniowe – panel monitorujący sankcje wskazał, że w latach 2017–2024 Korea Północna mogła przeprowadzić 97 ataków na firmy kryptowalutowe, kradnąc około 3,6 miliarda dolarów^[22].

Obok operacji finansowych grupa prowadzi kampanie szpiegowskie. W ramach operacji „Dream Job” jej członkowie podszywają się pod rekruterów i za pomocą fałszywych ofert pracy oraz „zadań rekrutacyjnych” z ukrytym złośliwym oprogramowaniem atakują pracowników sektorów obronnego, lotniczego i technologicznego^[23][24]. Pod koniec 2020 roku celem kampanii spear-phishingowych grupy były koncerny farmaceutyczne pracujące nad szczepionkami przeciw COVID-19, w tym AstraZeneca^[25], a na początku 2021 roku – badacze bezpieczeństwa, wabieni przez fałszywe profile „kolegów po fachu” w mediach społecznościowych^[26]. W 2023 roku z aktywnością powiązaną z grupą połączono atak na łańcuch dostaw oprogramowania komunikacyjnego 3CX, w którym podpisane cyfrowo wersje aplikacji dystrybuowały złośliwy kod^[27].

We wrześniu 2018 roku amerykański Departament Sprawiedliwości postawił zarzuty Parkowi Jin Hyokowi, programiście powiązanemu z północnokoreańskim wywiadem wojskowym, w związku z atakiem na Sony, napadem na Bank Bangladeszu i WannaCry^[3]. W lutym 2021 roku akt oskarżenia rozszerzono o dwóch kolejnych funkcjonariuszy Biura Generalnego Rozpoznania – Jona Chang Hyoka i Kima Il – obejmując nim także kradzieże kryptowalut i fałszywe aplikacje finansowe; żaden z oskarżonych nie znajduje się w rękach amerykańskiego wymiaru sprawiedliwości^[28].

• APT28
• APT29
• Equation Group

• The Lazarus Heist – serial podcastowy BBC World Service (ang.)