# Groupe Lazarus

Le groupe Lazarus (également connu sous le nom de Guardians of Peace ou Whois Team$^,$$^,$ ) est un groupe de hackers prétendument dirigé par le gouvernement de la Corée du Nord. Si l’on sait peu de choses sur le groupe Lazarus, les chercheurs lui ont attribué de nombreuses cyberattaques entre 2010 et 2021. Il s'agit à l'origine un groupe criminel. Le groupe a ensuite été désigné comme une menace persistante avancée en raison de la nature intentionnelle, de la menace et du large éventail de méthodes utilisées lors de la conduite d'une opération. Les organisations de cybersécurité lui donnent également le nom de Hidden Cobra (utilisé par le Département américain de la sécurité intérieure pour désigner les cyberactivités malveillantes du gouvernement nord-coréen en général)$^,$ et ZINC ou Diamond Sleet (par Microsoft)$^,$$^,$. Selon le transfuge nord-coréen Kim Kuk-song, l'unité est connue en Corée du Nord sous le nom de Bureau de liaison 414.
Le groupe Lazarus entretient des liens étroits avec la Corée du Nord$^,$. Le ministère américain de la Justice affirme que le groupe fait partie de la stratégie du gouvernement nord-coréen visant à « saper la cybersécurité mondiale… et à générer des revenus illicites en violation des… sanctions ». La Corée du Nord profite de la conduite de cyberopérations car elle peut présenter une menace asymétrique avec un petit groupe d’opérateurs, en particulier pour la Corée du Sud.

## Histoire

La première attaque dont le groupe est responsable est connue sous le nom d'« Opération Troie », qui a lieu de 2009 à 2012. Il s’agit d’une campagne de cyberespionnage utilisant des techniques simples d’attaque par déni de service distribué (DDoS) pour cibler le gouvernement sud-coréen à Séoul. Ils sont également responsables d’attaques en 2011 et 2013. Il est possible qu’ils soient également à l’origine d’une attaque visant la Corée du Sud en 2007, mais cela reste incertain. Le groupe Lazarus est également connu pour l'attaque de 2014 contre Sony Pictures. L’attaque de Sony a utilisé des techniques plus sophistiquées et a mis en évidence la progression du groupe au fil du temps.
Le groupe Lazarus aurait volé 12 millions de dollars à la Banco del Austro en Équateur et 1 million de dollars à la banque Tien Phong au Vietnam en 2015. Ils ont également ciblé des banques en Pologne et au Mexique. Le braquage de banque de 2016 comprenait une attaque contre la banque du Bangladesh, le groupe Lazarus a réussi à voler 81 millions de dollars américains lors de ce braquage. En 2017, le groupe Lazarus aurait volé 60 millions de dollars américains à la Banque internationale d'Extrême-Orient de Taiwan, bien que le montant réel volé ne soit pas clair et que la plupart des fonds aient été récupéré.
On ne sait pas avec exactitude qui se cache derrière ce groupe, mais les médias ont suggéré que le groupe avait des liens avec la Corée du Nord$^,$$^,$. Kaspersky Lab a rapporté en 2017 que le groupe Lazarus a tendance à se concentrer sur les cyberattaques d'espionnage et d'infiltration, tandis qu'un sous-groupe au sein de leur organisation, que Kaspersky appelle Bluenoroff, est spécialisé dans les cyberattaques financières. Kaspersky a trouvé plusieurs attaques dans le monde entier et un lien direct (adresse IP) entre Bluenoroff et la Corée du Nord.
Cependant, Kaspersky a également reconnu que la répétition du code pouvait être un mauvais indice, une sorte de « fausse bannière » destinée à induire les enquêteurs en erreur et à imputer l’attaque à la Corée du Nord, étant donné que la cyberattaque mondiale du ver WannaCry a également copié les techniques de la NSA. Ce rançongiciel exploite une faille de la NSA connue sous le nom d'EternalBlue, qu'un groupe de pirates informatiques connu sous le nom de Shadow Brokers a rendu public en avril 2017. Symantec a rapporté en 2017 qu'il était « très probable » que le groupe Lazarus soit à l'origine de l'attaque WannaCry.

### 2009 Opération Troie

Le premier incident de piratage informatique majeur du groupe Lazarus a lieu le 4 juillet 2009 et déclenche le début de « l'opération Troie ». Cette attaque utilise les logiciels malveillants Mydoom et Dozer pour lancer une attaque DDoS à grande échelle, mais peu sophistiquée, contre des sites web américains et sud-coréens. La volée d'attaques touche environ trois douzaines de sites Web et place le texte "Memory of Independence Day" dans le master boot record (MBR).

### Cyberattaque en Corée du Sud en 2013 (Opération 1Mission/DarkSeoul)

Au fil du temps, les attaques de ce groupe deviennent plus sophistiquées ; leurs techniques et outils sont devenus mieux développés et plus efficaces. L'attaque de mars 2011, connue sous le nom de « Ten Days of Rain », vise les médias, les finances et les infrastructures critiques sud-coréennes et consiste en des attaques DDoS plus sophistiquées provenant d'ordinateurs compromis en Corée du Sud. Les attaques se sont poursuivies le 20 mars 2013 avec DarkSeoul, une attaque de type wiper qui cible trois sociétés de diffusion télévisuelles sud-coréennes, des instituts financiers et un fournisseur d'accès internet (FAI). À l’époque, deux autres groupes, appelés « NewRomanic Cyber Army Team et WhoIs Team », s’attribuent le mérite de cette attaque, mais les chercheurs ne savent pas que le groupe Lazarus est derrière cette attaque, à l’époque. Les chercheurs connaissent aujourd’hui le groupe Lazarus comme un supergroupe à l’origine des attaques perturbatrices.

### Fin 2014 : brèche chez Sony

Les attaques du groupe Lazarus culminent le 24 novembre 2014. Ce jour-là, un article sur Reddit est apparu indiquant que Sony Pictures avait été piraté par des moyens inconnus ; les auteurs se sont identifiés comme les « Gardiens de la paix ». De grandes quantités de données ont été volées et lentement divulguées dans les jours qui suivent l'attaque. Une interview avec une personne prétendant faire partie du groupe permet de savoir que ceux-ci siphonnaient les données de Sony depuis plus d'un an.
Les pirates ont pu accéder à des films inédits, aux scénarios de certains films, aux projets de futurs films, aux informations sur les salaires des dirigeants de l'entreprise, aux courriers électroniques et aux informations personnelles d'environ 4000 employés.

### Enquête début 2016 : Opération Blockbuster

Sous le nom d'« Opération Blockbuster », une coalition de sociétés de sécurité, dirigée par Novetta$^,$, a pu analyser des échantillons de logiciels malveillants trouvés dans différents incidents de cybersécurité. Grâce à ces données, l’équipe a pu analyser les méthodes utilisées par les pirates. Ainsi ils ont pu lier le groupe Lazarus à un certain nombre d'attaques grâce à un modèle de réutilisation de code.

### Cyber-braquage d'une banque du Bangladesh en 2016

Le cyber-braquage de la Bangladesh Bank est un vol qui a eu lieu en février 2016. Trente-cinq instructions frauduleuses ont été émises par des pirates informatiques via le réseau SWIFT pour transférer illégalement près d'un milliard de dollars depuis le compte de la Federal Reserve Bank de New York appartenant à la Bangladesh Bank, la banque centrale du Bangladesh. Cinq des trente-cinq instructions frauduleuses ont réussi à transférer 101 millions de dollars américains, dont 20 millions de dollars américains étaient attribués au Sri Lanka et 81 millions de dollars américains aux Philippines. La Federal Reserve Bank de New York a bloqué les trente transactions restantes, pour un montant de 850 millions de dollars, en raison de soupçons suscités par une instruction mal orthographiée$^,$. Les experts en cybersécurité ont affirmé que le groupe Lazarus, basé en Corée du Nord, était à l'origine de l'attaque$^,$.

### Attaque du rançongiciel WannaCry de mai 2017

L'attaque WannaCry est une cyberattaque massive de rançongiciel qui a frappé des institutions du monde entier, du NHS en Grande-Bretagne à Boeing et même aux universités en Chine le 12 mai 2017. L'attaque a duré 7 heures et 19 minutes. Europol estime qu'elle a touché près de 200 000 ordinateurs dans 150 pays, touchant principalement la Russie, l'Inde, l'Ukraine et Taiwan. Il s’agit de l’une des premières attaques à transiter par un ver cryptographique . Les cryptoworms sont une forme récente de virus informatique qui peut voyager entre ordinateurs en utilisant des réseaux, en exploitant le port TCP 445 ). Pour être infecté, il n'est pas nécessaire de cliquer sur un mauvais lien : le malware peut se propager de manière autonome, depuis un ordinateur vers une imprimante connectée, puis au-delà vers des ordinateurs adjacents, éventuellement connectés au wifi, etc. La vulnérabilité du port 445 a permis que des logiciels malveillants se déplacent librement sur les intranets et infectent rapidement des milliers d'ordinateurs. L’attaque Wannacry a été l’une des premières utilisations à grande échelle d’un ver cryptographique.

#### Attaque

Le virus exploite une vulnérabilité du système d'exploitation Windows, puis crypte les données de l'ordinateur en échange d'une somme en Bitcoin d'une valeur d'environ 300 $ pour obtenir la clé. Afin d’encourager le paiement, la demande de rançon double au bout de trois jours, et si elle n’est pas payée au bout d’une semaine, le malware supprime les fichiers de données cryptés. Le malware utilise un logiciel légitime appelé Windows Crypto, créé par Microsoft pour mélanger les fichiers. Une fois le cryptage terminé, le nom du fichier est accompagné de « Wincry », qui est la racine du nom Wannacry. Wincry est la base du cryptage, mais deux failles supplémentaires, EternalBlue et DoublePulsar, ont été utilisées par le malware pour en faire un cryptoworm. EternalBlue propage automatiquement le virus à travers les réseaux, tandis que DoublePulsar déclenche son activation sur l'ordinateur d'une victime. En d’autres termes, EternalBlue a obtenu le lien infecté vers votre ordinateur et DoublePulsar a cliqué dessus pour vous.
Le chercheur en sécurité Marcus Hutchins a mis fin à l'attaque lorsqu'il a reçu une copie du virus d'un ami d'une société de recherche en sécurité et a découvert un kill switch codé en dur dans le virus. Le logiciel malveillant incluait une vérification périodique pour voir si un nom de domaine spécifique était enregistré et ne procédait au cryptage que si ce nom de domaine n'existait pas. Hutchins a identifié cette vérification, puis a rapidement enregistré le domaine concerné à 15h03 UTC. Le malware a immédiatement cessé de se propager et d’infecter de nouvelles machines. C’était très intéressant et cela donne un indice sur qui a créé le virus. Habituellement, l’arrêt des logiciels malveillants prend des mois de combats entre les pirates et les experts en sécurité, cette victoire facile était donc inattendue. Un autre aspect très intéressant et inhabituel de l'attaque était que les fichiers n'étaient pas récupérables après le paiement de la rançon : seulement 160 000 $ ont été collectés, laissant croire que les pirates ne recherchaient pas l'argent.
La facilité du kill switch et le manque de revenus ont amené beaucoup de gens à croire que l’attaque était parrainée par l’État ; le motif n’était pas une compensation financière, mais simplement le chaos. Après l'attaque, les experts en sécurité ont retracé la vulnérabilité DoublePulsar jusqu'à la NSA des États-Unis, où la vulnérabilité avait été développé comme cyber-arme . La vulnérabilité a ensuite été volé par le groupe de hackers Shadow Brokers, qui a d'abord tenté de la vendre aux enchères, mais après avoir échoué, il l'a simplement distribué gratuitement. La NSA a ensuite révélé la vulnérabilité à Microsoft qui a publié une mise à jour le 14 mars 2017, un peu moins d'un mois avant l'attaque. Ce n'était pas suffisant. La mise à jour n'était pas obligatoire et la majorité des ordinateurs présentant cette vulnérabilité n'avaient pas résolu le problème le 12 mai 2017, ce qui a conduit à l'efficacité étonnante de l'attaque.

#### Conséquences

Le ministère américain de la Justice et les autorités britanniques ont ensuite attribué l'attaque WannaCry au gang de hackers nord-coréen, le groupe Lazarus.

### Attaques de crypto-monnaie en 2017

En 2018, Recorded Future a publié un rapport liant le groupe Lazarus à des attaques contre les utilisateurs de crypto-monnaie Bitcoin et Monero, principalement en Corée du Sud. Ces attaques sont techniquement similaires aux attaques précédentes utilisant le rançongiciel WannaCry et aux attaques contre Sony Pictures. L'une des tactiques utilisées par les pirates informatiques de Lazarus consiste à exploiter les vulnérabilités du Hangul de Hancom, un logiciel de traitement de texte sud-coréen. Une autre tactique consiste à utiliser des leurres de spear phishing contenant des logiciels malveillants et envoyés aux étudiants sud-coréens et aux utilisateurs d'échanges de crypto-monnaie comme Coinlink. Si l'utilisateur ouvre le logiciel malveillant, celui-ci vole les adresses e-mail et les mots de passe de l'utilisateur. Coinlink a nié que les e-mails et les mots de passe de son site ou de ses utilisateurs aient été piratés. Le rapport conclue que « cette campagne de fin 2017 s'inscrit dans la continuité de l'intérêt de la Corée du Nord pour les cryptomonnaies, dont nous savons maintenant qu'elles englobent un large éventail d'activités, notamment l'exploitation minière, les rançongiciels et le vol pur et simple... » Le rapport indique également que La Corée du Nord utilise ces attaques de crypto-monnaie pour éviter les sanctions financières internationales.
Des pirates informatiques nord-coréens ont volé 7 millions de dollars à Bithumb, une bourse sud-coréenne en février 2017. Youbit, une autre société sud-coréenne d'échange de Bitcoin, a déposé son bilan en décembre 2017 après que 17 % de ses actifs aient été volés par des cyberattaques à la suite d'une attaque antérieure, datant d'avril 2017. Le groupe Lazarus et les pirates informatiques nord-coréens ont été accusés d'être responsables de ces attaques$^,$. Nicehash, un marché de cloud mining de cryptomonnaies, a perdu plus de 4 500 Bitcoins en décembre 2017. Une mise à jour sur l'enquête a affirmé que l'attaque est liée au groupe Lazarus.

### Attaques de septembre 2019

À la mi-septembre 2019, les États-Unis ont émis une alerte publique concernant une nouvelle version d’un malware baptisé ElectricFish. Depuis le début de l'année 2019, des agents nord-coréens ont tenté cinq vols majeurs dans le monde, dont un vol réussi de 49 millions de dollars dans une institution au Koweït.

### Attaques d’entreprises pharmaceutiques fin 2020

En raison de la pandémie actuelle de COVID-19, les sociétés pharmaceutiques sont devenues des cibles majeures pour le groupe Lazarus. En utilisant des techniques d'hameçonnage, les membres du groupe Lazarus se sont fait passer pour des responsables de la santé et ont contacté des employés d'entreprises pharmaceutiques avec des liens malveillants. On pense que plusieurs grandes sociétés pharmaceutiques ont été ciblées, mais la seule qui a été confirmée est la société anglo-suédoise AstraZeneca. Selon un rapport de Reuters, un large éventail d’employés ont été ciblés, dont beaucoup impliqués dans la recherche sur le vaccin contre le COVID-19. On ne sait pas quel est l'objectif du groupe Lazarus dans ces attaques, mais les possibilités sont vastes :
* Voler des informations sensibles pour les revendre à des fins lucratives.
* Plans d'extorsion de fonds.
* Donner aux régimes étrangers l’accès à des recherches exclusives sur le COVID-19.
AstraZeneca n'a pas commenté l'incident et les experts estiment qu'aucune donnée sensible n'a encore été compromise.

### Attaques de janvier 2021 visant des chercheurs en cybersécurité

En janvier 2021, Google et Microsoft ont tous deux rendu compte publiquement d'un groupe de pirates informatiques nord-coréens ciblant des chercheurs en cybersécurité via une campagne d'ingénierie sociale, Microsoft attribuant spécifiquement la campagne au groupe Lazarus$^,$$^,$.
Les pirates ont créé plusieurs profils d'utilisateurs sur Twitter, GitHub et LinkedIn en se faisant passer pour des chercheurs légitimes en vulnérabilités logicielles, et ont utilisé ces profils pour interagir avec les publications et le contenu créés par d'autres membres de la communauté de recherche en sécurité. Les pirates ciblent ensuite des chercheurs en sécurité spécifiques en les contactant directement et en leur proposant de collaborer à des recherches, dans le but d'amener la victime à télécharger un fichier contenant un logiciel malveillant ou à consulter un article de blog sur un site web contrôlé par les pirates.
Certaines victimes qui ont consulté le blog ont signalé que leurs ordinateurs avaient été compromis malgré l'utilisation de versions entièrement corrigées du navigateur Google Chrome, ce qui suggère que les pirates pourraient avoir utilisé une vulnérabilité zero-day jusqu'alors inconnue affectant Chrome pour l'attaque. Google a déclaré ne pas être en mesure de confirmer la méthode exacte de compromission au moment du rapport.

### Attaque de mars 2022 sur le jeu en ligne Axie Infinity

En mars 2022, le groupe Lazarus a été reconnu comme responsable du vol d'une valeur de 600 millions de dollars sur le réseau Ronin, un pont utilisé par le jeu Axie Infinity. Le FBI a déclaré : « Grâce à nos enquêtes, nous avons pu confirmer que le groupe Lazarus et APT38, des cyberacteurs associés à [la Corée du Nord], sont responsables du vol ».

### Attaque du pont Horizon en juin 2022

Le FBI a confirmé que le groupe de cyberacteurs malveillants nord-coréen Lazarus (également connu sous le nom d'APT38) était responsable du vol de 100 millions de dollars de monnaie virtuelle sur le pont Harmony's Horizon, signalé le 24 juin 2022.

### Attaques de crypto-monnaie

Un rapport publié par la plate-forme de sécurité sur la blockchain Immunefi affirme que le groupe Lazarus est responsable de plus de 300 millions de dollars de pertes lors d'incidents de piratage cryptographique en 2023. Ce montant représente 17,6% des pertes totales de l'année.

#### Attaque du service Atomic Wallet de juin 2023

En juin 2023, plus de 100 millions de dollars en crypto-monnaie ont été volés aux utilisateurs du service Atomic Wallet, ce qui a ensuite été confirmé par le FBI.

#### Piratage de Stake.com de septembre 2023

En septembre 2023, le FBI a confirmé qu'un vol de crypto-monnaie de 41 millions de dollars sur Stake.com, un casino et une plateforme de paris en ligne, avait été perpétré par le groupe Lazarus.

#### Hacking sur la plate-forme Bybit en février 2025

En février 2025, 400 000 Ethereum, soit l'équivalent d'1,5 milliard de dollars en cryptomonnaies, appartenant aux clients de la plate-forme Bybit sont dérobés lors d'une attaque informatique. Il s'agit alors du plus gros hacking réalisé sur les cryptomonnaies. Le groupe Lazarus est soupçonné d’être à l'origine du piratage

### Sanctions américaines

Le 14 avril 2022, l'OFAC du Trésor américain a placé le groupe Lazarus sur la liste SDN en vertu de l'article 510.214 du Règlement sur les sanctions contre la Corée du Nord.

## Enseignement

Les hackers nord-coréens sont envoyés professionnellement à Shenyang, en Chine, pour une formation spéciale. Ils sont formés pour déployer des logiciels malveillants de tous types sur des ordinateurs, des réseaux informatiques et des serveurs. Au niveau national, l'enseignement comprend l'Université de technologie Kim Chaek, l'Université Kim Il-sung et l'Université Moranbong, qui sélectionnent les étudiants les plus brillants de tout le pays et les soumettent à six années d'enseignement spécialisé.

## Unités

Lazare aurait deux unités$^,$.

### BleuNorOff

BlueNorOff (également connu sous le nom de : APT38, Stardust Chollima, BeagleBoyz, NICKEL GLADSTONE ) est un groupe à motivation financière responsable des transferts illégaux d'argent via de faux ordres de SWIFT. BlueNorOff est également appelé APT38 (par Mandiant ) et Stardust Chollima (par Crowdstrike )$^,$.
Selon un rapport de 2020 de l’armée américaine, Bluenoroff compte environ 1 700 membres qui se livrent à la cybercriminalité financière en se concentrant sur l’évaluation à long terme et en exploitant les vulnérabilités des réseaux et des systèmes ennemis pour obtenir un gain financier pour le régime ou pour prendre le contrôle du système. Ils ciblent les institutions financières et les bourses de crypto-monnaie, dont plus de 16 organisations dans au moins 13 pays entre 2014 et 2021 : Bangladesh, Inde, Mexique, Pakistan, Philippines, Corée du Sud, Taïwan, Turquie, Chili et Vietnam. On pense que les revenus serviront au développement de la technologie des missiles et du nucléaire$^,$.
L'attaque la plus tristement célèbre de BlueNorOff a été le vol de la banque du Bangladesh en 2016, au cours duquel ils ont tenté d'utiliser le réseau SWIFT pour transférer illégalement près d'un milliard de dollars américains depuis le compte de la Federal Reserve Bank de New York appartenant à la Bangladesh Bank, la banque centrale du Bangladesh. Après la réalisation de plusieurs transactions (20 millions de dollars attribués au Sri Lanka et 81 millions de dollars américains aux Philippines ), la Banque fédérale de réserve de New York a bloqué les transactions restantes, en raison de soupçons suscités par une faute d'orthographe.
Les logiciels malveillants associés à BlueNorOff sont : " DarkComet, Mimikatz, Nestegg, Macktruck, WannaCry, Whiteout, Quickcafe, Rawhide, Smoothride, TightVNC, Sorrybrute, Keylime, Snapshot, Mapmaker, net.exe, sysmon, Bootwreck, Cleantoad, Closeshave, Dyepack, Hermes, Twopence, Electricfish, Powerratankba et Powerspritz ".
Les tactiques couramment utilisées par BlueNorOff incluent : l'hameçonnage, les portes dérobées, Drive-by compromis, Watering Hole Attack, l'exploitation de versions obsolètes et non sécurisées d'Apache Struts 2 pour exécuter du code sur un système, la compromission stratégique sur le Web et l'accès aux serveurs Linux. On rapporte qu'ils travaillent parfois avec des pirates informatiques criminels.

### AndAriel

AndAriel (également orthographié Andarial, et également connu sous les noms : Silent Chollima, Dark Séoul, Rifle et Wassonite ) se caractérise sur le plan logistique par son ciblage de la Corée du Sud. Le nom alternatif d'Ariel s'appelle Silent Chollima en raison de la nature furtive du sous-groupe. Toute organisation en Corée du Sud est vulnérable à AndAriel. Les cibles incluent le gouvernement, la défense et toute entité économique$^,$.
Selon un rapport de 2020 de l'armée américaine, Andarial compte environ 1 600 membres dont la mission est la reconnaissance, l'évaluation des vulnérabilités du réseau et la cartographie du réseau ennemi en vue d'une attaque potentielle. Outre la Corée du Sud, ils ciblent également d’autres gouvernements, infrastructures et entreprises. Les vecteurs d'attaque incluent : ActiveX, les vulnérabilités des logiciels sud-coréens, les attaques par points d'eau, le spear phishing (macro), les produits de gestion informatique (antivirus, PMS) et la chaîne d'approvisionnement logistique (installateurs et mises à jour). Les logiciels malveillants utilisés incluent : Aryan, Gh0st RAT, Rifdoor, Phandoor et Andarat.

## Actes d'accusation

En février 2021, le ministère américain de la Justice a inculpé trois membres du Reconnaissance General Bureau, une agence de renseignement militaire nord-coréenne, pour avoir participé à plusieurs campagnes de piratage du groupe Lazarus : Jin Hyok, Jon Chang Hyok et Kim Il Park. Jin Hyok avait déjà été inculpé plus tôt en septembre 2018. Les individus ne sont pas détenus aux États-Unis. Un Canadien et deux Chinois ont également été accusés d'avoir agi comme mules et blanchisseurs d'argent pour le compte du groupe Lazarus$^,$.