...Тази седмица в нашата поредица “Мафиотски империи” се фокусираме върху киберпрестъпленията, разкривайки механизмите на една от най-старите и разрушителни киберорганизации. 

Използвайки данни от разузнавателни доклади на ФБР, Интерпол и скорошни анализи на киберпространството, разглеждаме историята на Лазарус – от първите им DDoS атаки до кражби на милиарди в криптовалути, които подхранват режима в Пхенян.

Групата Лазарус, свързана с Разузнавателното генерално бюро на Северна Корея, е активна от поне 2009 г., когато започва с “Операция Троя” – масирана DDoS атака срещу сайтове в САЩ и Южна Корея с помощта на malware като Mydoom и Dozer. 

За разлика от традиционните мафии, Лазарус комбинира шпионаж с финансови престъпления, за да генерира средства за режима, изолиран от международните санкции. 

През 2014 г. те стават световно известни с атаката срещу Sony Pictures, където унищожават данни и крадат филми в отговор на комедия за Ким Чен Ън. През 2017 г. WannaCry ransomware, който заразява 200 000 компютъра в 150 държави, е приписан на тях, причинявайки щети от милиарди долари. Тези операции еволюират от разрушителни атаки към фокусирани кражби, като Лазарус се превръща в инструмент за икономическото оцеляване на Северна Корея.

Лазарус функционира като децентрализирана мрежа от подразделения, свързани с държавата, с хиляди членове, включително хакери, анализатори и финансисти. 

Основните единици включват APT38 (известна още като BlueNorOff или Stardust Chollima), фокусирана върху финансови кражби чрез SWIFT фалшификации, и Andariel, която се занимава с шпионаж. За разлика от корпоративните ransomware групи като LockBit, Лазаръс е йерархичен, с лидери от разузнаването, които координират операции от Пхенян, докато изпълнителите работят от Китай, Русия и Югоизточна Азия. 

Оценките сочат присъствие в над 30 държави, с фокус върху криптообмените и финансови институции.

Лазарус са майстори на финансовите атаки: през 2016 г. крадат 81 млн. долара от Bangladesh Bank чрез SWIFT хак. Те се фокусират също и върху  криптовалути – Ronin Network (2022, 624 млн. долара), BNB Bridge (2022, 586 млн. долара) и Stake.com (2023, 41 млн. долара). 

През февруари 2025 г. ФБР приписва кражба на 1,5 млрд. долара в Ethereum от Bybit на Лазаръс, използвайки phishing и malware за достъп до студени портфейли. 

Лазарус няма публични лидери, но е под контрола на Разузнавателното генерално бюро, с предполагаеми ръководители като пак Джин Хьок, обвиняван за Sony хака. 

Подразделението APT38 се ръководи от “финансови специалисти” като тези в BlueNorOff, с около 1700 члена, фокусирани върху дългосрочни прониквания. През 2025 г. групата се адаптира с AI за phishing, като се представят за набиращи персонал в LinkedIn и Telegram, за да хакват разработчици. 

Конфликти с други групи са редки, но съперничеството с китайски и руски хакери води до “кибервойни” за контрол над криптоактивите. 

Към септември 2025 г. Лазарус остава активна, въпреки санкции от OFAC и ФБР, с фокус върху крипто и софтуерни вериги. 

Международните усилия, като Operation Blockbuster (2016) и скорошни арести на съюзници, забавят операциите, но липсата на екстрадиция от Пхенян ги прави неуловими. През август 2025 г. те атакуват разработчици чрез фалшиви интервюта за работа, инсталирайки malware в GitLab репозитории. 

Групата се адаптира към AI за автоматизирани атаки, използвайки уязвимостите в AI системите за измами. Това подчертава растежа на киберпрестъпленията, с глобални щети от 10,5 трлн. долара годишно. 

Групата Лазаръс е не само киберпрестъпна организация, но и инструмент на държавна политика – символ на пример как технологиите могат да подхранят тиранията. Докато санкциите се засилват, техните атаки еволюират, напомняйки ни за уязвимостите в глобалната цифрова икономика.

Останете с нас за още разкрития.

Недко Белчев, Mediamall.info