拉撒路集團

拉撒路集團（Lazarus Group），也稱為和平衛士（Guardians of Peace）或Whois Team，是一個由數量不詳的個人組成的黑客組織，據稱由朝鮮政府運營。雖然對該組織知之甚少，但研究人員將自2010年以來的許多網路攻擊歸因於他們。

該組織因其涉及多個重大網路攻擊事件而被廣泛關注。最早在2014年曝光，因其涉嫌對索尼影業進行的網路攻擊而引起國際社會的關注。之後，它被認為是全球最具威脅的網路攻擊組織之一。

## 背景

<image>

公該組織已知的最早攻擊被稱為「特洛伊行動」（Operation Troy），該行動發生在2009年至2012年期間。這是一場網路間諜活動，利用簡單的分布式拒絕服務（DDoS）攻擊技術，目標是首爾的韓國政府。他們還負責2011年和2013年的攻擊。雖然不確定，但他們也可能是2007年針對韓國的攻擊幕後黑手。該組織最著名的攻擊之一是2014年對索尼影業的攻擊。索尼攻擊使用了更為複雜的技術，突顯了該組織隨著時間的推移變得多麼先進。

該組織據報導在2015年從厄瓜多的奧斯特羅銀行（Banco del Austro）竊取了1200萬美元，並從越南的先鋒股份商業銀行竊取了100萬美元。他們還曾攻擊波蘭和墨西哥的銀行。2016年孟加拉銀行遭黑客入侵，該組織成功竊取了8100萬美元，這次襲擊被歸咎於該組織。2017年，拉撒路組織被報導從台灣的遠東國際銀行竊取了6000萬美元，但實際被盜金額不明確，大部分資金已被追回。

雖然尚不清楚這個組織的幕後真正是誰，但媒體報導暗示該組織與朝鮮有聯繫。卡巴斯基實驗室在2017年報告稱，拉撒路組織傾向於專注於間諜和滲透網路攻擊，而該組織內部的一個子組（卡巴斯基稱Bluenoroff）則專門從事金融網路攻擊。卡巴斯基發現了全球範圍內的多次攻擊事件，並找到了Bluenoroff與朝鮮之間的直接聯繫（IP位址）。

然而，卡巴斯基也承認，代碼的重複可能是一個旨在誤導調查人員並將攻擊歸咎於朝鮮的「偽裝旗幟」，因為全球範圍內的WannaCry蠕蟲網路攻擊也借鑑了美國國家安全局的技術。這種勒索軟體利用了一個名為EternalBlue的NSA漏洞，該漏洞由一個名為Shadow Brokers的駭客組織在2017年4月公開。賽門鐵克（Symantec）在2017年報告稱，「高度可能」是拉撒路組織（Lazarus）在幕後操縱了WannaCry攻擊。

### 教育

該組織的幾名成員曾被派往中國瀋陽接受專門培訓。他們接受過培訓，可以將各種類型的惡意軟體部署到電腦、電腦網絡和伺服器上。國內教育包括金策工業綜合大學、金日成大學和牡丹峰大學，它們從全國各地挑選最聰明的學生，讓他們接受六年的特殊教育。除了大學水平之外，一些最優秀的程式設計師會被送往牡丹峰大學或美林學院接受進一步培訓。

## 攻擊事件

### 2009年：特洛伊行動

拉撒路組織的首次重大黑客事件發生在2009年7月4日，標誌著「特洛伊行動」的開始。這次攻擊利用了Mydoom和Dozer惡意軟體，發起了一場大規模但相對簡單的分布式拒絕服務攻擊，目標是美國和韓國的網站。攻擊波及約三十個網站，並在主引導記錄中插入了「獨立日的記憶」字樣。

### 2013年韓國網路攻擊（Operation 1Mission/ DarkSeoul）

隨著時間的推移，拉撒路集團的攻擊手段變得更加複雜；他們的技術和工具得到了更好的發展，且變得更加有效。2011年3月，名為「十天暴雨」（Ten Days of Rain）的攻擊針對了韓國的媒體、金融和關鍵基礎設施，採用了更加複雜的分布式拒絕服務攻擊，這些攻擊源自韓國境內被攻陷的電腦。2013年3月20日，拉撒路集團再次發動了「DarkSeoul」攻擊，這是一種擦除型攻擊，目標是三家韓國廣播公司、金融機構和一個網際網路服務提供商。當時，兩個名為「NewRomanic Cyber Army Team」和「WhoIs Team」的黑客組織宣稱對此次攻擊負責，但研究人員當時並未知道是拉撒路集團所為。如今，研究人員已將拉撒路集團認定為背後發動破壞性攻擊的超級組織。

### 2014年末：索尼影業攻擊

索尼影業遭黑客攻擊事件2014年11月24日，Reddit上出現了一篇帖子，稱索尼影業遭受了不明的、大規模的網路攻擊，攻擊者通過網路釣魚和惡意軟體侵入了公司的內部網絡。攻擊者不僅竊取了大量敏感數據，還洩露了公司內部文件、員工資訊和未公開的電影劇本。一位自稱是該組織成員的人在接受採訪時表示，他們竊取索尼數據已有一年多時間。此外，黑客還威脅要對即將上映的電影《採訪》進行恐怖襲擊，導致影院拒絕放映該片。

美國政府指責朝鮮政府支持這次攻擊，儘管朝鮮官方否認了相關指控。該事件被認為是拉撒路集團第一次大規模且公開的行動，其背後的動機據信與朝鮮政府對電影內容的不滿有關，電影內容諷刺朝鮮領導人金正恩。

### 2016年：孟加拉國銀行黑客入侵案

孟加拉國銀行網路盜竊案發生在2016年2月。黑客通過SWIFT網路發出了35條偽造指令，試圖從孟加拉國中央銀行——孟加拉國銀行——在紐約聯邦儲備銀行的帳戶中非法轉移接近10億美元。其中5條指令成功轉帳了1.01億美元，分別將2000萬美元轉帳至斯里蘭卡，8100萬美元轉帳至菲律賓。紐約聯邦儲備銀行由於懷疑指令中的拼寫錯誤，阻止了剩餘的30筆交易，金額達到8.5億美元。網路安全專家稱，來自朝鮮的拉撒路集團是此次攻擊的幕後黑手。

### 2017年：WannaCry勒索病毒

WannaCry攻擊是一場大規模的勒索軟體網路攻擊，發生在2017年5月12日，波及全球多個機構，從英國的NHS（國家醫療服務體系）、波音公司，到中國的大學等。此次攻擊持續了7小時19分鐘。歐洲刑警組織估計，WannaCry影響了150個國家的近20萬台電腦，影響了醫療、教育、銀行等多個行業，導致了巨大的經濟損失。

這是加密蠕蟲（cryptoworm）攻擊的首次大規模應用之一。加密蠕蟲是一類能夠通過網路在電腦之間傳播的惡意軟體，不需要使用者的直接操作就能感染電腦——在此次攻擊中，漏洞利用的是TCP埠445。要感染電腦，使用者不需要點擊惡意連結——惡意軟體能夠自主傳播，從一台電腦傳播到連接的印表機，再進一步傳播到相鄰的電腦，甚至可能通過WiFi傳播。埠445的漏洞使得惡意軟體能夠在內部網絡中自由傳播，迅速感染成千上萬台電腦。WannaCry攻擊是加密蠕蟲首次大規模應用的標誌之一。

#### 攻擊

該病毒利用了Windows作業系統中的一個漏洞，然後加密電腦的數據，要求支付大約300美元的比特幣以獲取解密密鑰。為了鼓勵支付，贖金要求在三天後翻倍，如果在一周內未支付，惡意軟體將刪除加密的數據文件。該惡意軟體使用了微軟製作的名為Windows Crypto的合法軟體來加密文件。一旦加密完成，文件名後會附加「Wincry」，這也是WannaCry名稱的由來。Wincry是加密的基礎，但惡意軟體還利用了兩個額外的漏洞，即EternalBlue和DoublePulsar，使其成為一種加密蠕蟲。EternalBlue自動通過網路傳播病毒，而DoublePulsar則觸發它在受害者的電腦上激活。換句話說，EternalBlue將感染連結發送到你的電腦，而DoublePulsar則幫你點擊了連結。

輕易的終止開關和缺乏收入使很多人相信這次攻擊是國家支持的；其動機不是經濟補償，而只是為了製造混亂。攻擊發生後，安全專家將DoublePulsar漏洞追溯到美國國家安全局，該漏洞在那裡被開發成網路武器。該漏洞隨後被黑客組織Shadow Brokers竊取，他們先是試圖拍賣它，但沒有成功，然後乾脆免費贈送。美國國家安全局隨後向微軟披露了這一漏洞，微軟在2017年3月14日發布了更新，這距離攻擊發生不到一個月。但這還不夠。更新不是強制性的，大多數存在漏洞的電腦在5月12日之前都沒有解決問題，這導致了這次攻擊驚人的有效性。

美國司法部和英國當局後來將WannaCry攻擊歸咎於朝鮮黑客團伙拉撒路集團。

### 2017年加密貨幣攻擊

2018年，Recorded Future發布了一份報告，將拉撒路集團與針對加密貨幣比特幣和門羅幣使用者的攻擊聯繫起來，主要發生在韓國。這些攻擊被報告為在技術上與之前使用WannaCry勒索病毒的攻擊以及索尼影業遭遇的攻擊相似。拉撒路黑客使用的一種攻擊手段是利用韓國漢字處理軟體Hancom Hangul中的漏洞。另一種手段是通過釣魚郵件傳播惡意軟體，這些郵件被發送給韓國學生以及像Coinlink這樣的加密貨幣交易所使用者。如果使用者打開了惡意軟體，它會自動竊取電子郵件地址和密碼。Coinlink否認其網站或使用者的電子郵件和密碼被黑客攻擊。報告總結稱：「2017年底的這次攻擊活動是朝鮮對加密貨幣興趣的延續，現已知這種興趣涵蓋了包括挖礦、勒索軟體和直接盜竊在內的廣泛活動……」報告還指出，朝鮮正在利用這些加密貨幣攻擊以規避國際金融制裁。

2017年2月，朝鮮黑客從韓國交易所Bithumb竊取了700萬美元。另一家韓國比特幣交易所Youbit在2017年12月申請破產，因為其資產的17%在經歷了2017年4月的一次攻擊後被黑客盜走。拉撒路集團和朝鮮黑客被指責為這些攻擊的幕後黑手。2017年12月，Nicehash，一個加密貨幣雲挖礦市場，損失了超過4500個比特幣。調查更新稱，該攻擊與拉撒路集團有關。

### 2020年末製藥公司攻擊事件

由於持續的COVID-19大流行，拉撒路集團將藥品公司作為主要目標。該集團利用定向釣魚技術，偽裝成健康官員並向藥品公司員工發送惡意連結。據報導，多個主要的藥品組織可能被攻擊，但目前唯一確認的是英荷合資的阿斯特拉Zeneca。據路透社報導，受影響的員工範圍很廣，包括許多涉及COVID-19疫苗研究的人員。目前尚不清楚拉撒路集團在這些攻擊中的具體目標是什麼。

### 針對網路安全研究人員的攻擊

2021年1月，Google和微軟都公開報告了一個針對網路安全研究人員的攻擊事件，微軟特別將此攻擊歸咎於拉撒路集團。黑客在Twitter、GitHub和LinkedIn上創建了多個使用者資料，假冒合法的軟體漏洞研究人員，並利用這些資料與其他安全研究社區的成員進行互動。黑客接著通過直接聯繫特定的安全研究人員，提出合作研究的邀請，目的是讓受害者下載含有惡意軟體的文件，或者訪問一個由黑客控制的部落格網站。

一些訪問該部落格的受害者報告稱，儘管他們使用的是已完全修補版本的Google Chrome瀏覽器，但電腦仍然被入侵，這表明黑客可能利用了Chrome的一個未知零日漏洞進行攻擊；然而，谷歌表示，在報告發布時，他們未能確認具體的入侵方法。

### 2022年Ronin Network攻擊事件

2022年3月，區塊鏈遊戲《Axie Infinity》的專用側鏈網路Ronin Network遭拉撒路集團入侵，成為加密貨幣史上規模最大的單次盜竊案。黑客通過LinkedIn平台偽造招聘資訊，假扮新加坡某科技公司高管，誘騙Ronin Network母公司Sky Mavis的一名高級工程師打開帶有惡意代碼的PDF文件。該文件利用微軟Office的零日漏洞，在受害者電腦中植入後門程序，進而竊取到網路驗證節點的私鑰訪問權限。由於Ronin Network採用「多簽驗證」機制（需5/9個驗證者簽名才能完成交易），黑客通過控制的4個節點，結合此前通過社會工程獲取的Axie DAO社區節點臨時授權（2021年12月因使用者激增開放），偽造了虛假提款請求。整個攻擊過程持續6天未被察覺，直至3月23日有使用者報告無法提現，團隊檢查伺服器日誌才發現異常。

被盜取的17.36萬枚以太坊和2550萬USDC穩定幣（總價值約6.25億美元）被迅速轉入6個獨立錢包。區塊鏈分析公司Elliptic追蹤發現，黑客通過跨鏈橋將資產轉換為比特幣，並利用Wasabi Wallet等混幣器進行洗錢。事件導致Axie Infinity日活躍用戶數從峰值120萬驟降至30萬，其代幣AXS價格一周內暴跌60%。

2023年8月，美國聯邦調查局和國際刑警組織追回約3億美元資產，但剩餘資金至今仍在暗網黑市流轉，部分可能會被用於朝鮮核武器研發計劃。

## 子組織

### BlueNorOff

BlueNorOff（也稱：APT38、Stardust Chollima、BeagleBoyz、NICKEL GLADSTONE）是一個以財務為動機的黑客組織，負責通過偽造SWIFT訂單進行非法資金轉移。BlueNorOff也被美國麥迪安網路安全公司稱為APT38，Crowdstrike稱為Stardust Chollima。

根據美國陸軍2020年的一份報告，Bluenoroff約有1,700名成員從事金融網路犯罪，他們專注於長期評估並利用敵方網路漏洞和系統為政權謀取經濟利益或控制該系統。他們的目標是金融機構和加密貨幣交易所，包括2014年至2021年間至少13個國家/地區的16多個組織：孟加拉國、智利、印度、墨西哥、巴基斯坦、菲律賓、韓國、中華民國、土耳其和越南。據信這些收入將用於開發飛彈和核技術。

BlueNorOff最臭名昭著的一次網路攻擊事件是2016年孟加拉國銀行網路盜竊案，BlueNorOff試圖利用SWIFT網路從孟加拉國中央銀行紐約聯邦儲備銀行的帳戶中非法轉移近10億美元。在幾筆交易順利完成之後（2000萬美元追溯到斯里蘭卡，8100萬美元追溯到菲律賓），紐約聯邦儲備銀行因其拼寫錯誤引發懷疑而阻止了剩餘的交易。

與BlueNorOff相關的惡意軟體包括：DarkComet、Mimikatz、Nestegg、Macktruck、WannaCry、Whiteout、Quickcafe、Rawhide、Smoothride、TightVNC、Sorrybrute、Keylime、Snapshot、Mapmaker、net.exe、sysmon、Bootwreck、Cleantoad、Closeshave、Dyepack、Hermes、Twopence、Electricfish、Powerratankba和Powerspritz。

### AndAriel

AndAriel（也拼寫為Andarial，另有別名：Silent Chollima、Dark Seoul、Rifle和Wassonite）在其攻擊特點上以針對韓國為主。AndAriel的另一個名稱Silent Chollima源於該子組織的隱秘性質。任何在韓國的組織都可能成為AndAriel的攻擊目標。其目標包括政府、國防以及任何經濟象徵。

根據美國陸軍2020年的一份報告，Andarial擁有約1,600名成員，其任務是偵察、評估網路漏洞以及繪製敵方網路地圖以進行潛在攻擊。除了韓國，他們還針對其他政府、基礎設施和企業。攻擊媒介包括：ActiveX、韓國軟體中的漏洞、水坑攻擊、魚叉式網路釣魚（宏）、IT 管理產品（防病毒軟體、PMS）和供應鏈（安裝程序和更新程序）。使用的惡意軟體包括：Aryan、Gh0st RAT、Rifdoor、Phandoor和Andarat。

## 反應及應對

微軟EternalBlue全球補丁計劃，從2017年持續更新至2023年5月，開發SMBv3永久禁用工具和記憶體保護擴展（MPX），使WannaCry變種攻擊成功率下降97%（據卡巴斯基2023報告）。

2020年2月，聯合國安全理事會與歐盟刑警組織依據聯合國1718(2006)號決議對朝鮮光明星銀行等16個實體實施金融制裁，查封6500萬美元非法資金，涉及38個國家的132個銀行帳戶。

2021年2月，美國司法部起訴了朝鮮人民軍總參謀部偵察總局的三名成員，指控他們參與了多起拉撒路集團的黑客攻擊活動：朴振赫（Park Jin Hyok）、全昌赫（Jon Chang Hyok）和金一朴（Kim Il Park）。朴振赫在2018年9月已經被起訴。這些人目前不在美國拘留中。此外，還有一名加拿大人和兩名中國人被指控為拉撒路集團充當了「搬運工」和洗錢人。

2023年11月29日，美國財政部對一家虛擬貨幣混合器Sinbad公司實施制裁，凍結了Sinbad的所有美國資產，總體上禁止美國人與之交易，因虛擬貨幣混合器公司Sinbad處理了同朝鮮有關的拉撒路集團搶劫的價值數百萬美元的虛擬貨幣，包括Axie Infinity和Horizon Bride搶劫的數百萬美元。

## 另請參閱

- 朝鮮人民軍第121局
- 朝美關係
- 朝鮮網際網路
- 朝鮮非法活動

## 參考來源

### 引用

- Virus News (2016). "Kaspersky Lab Helps to Disrupt the Activity of the Lazarus Group Responsible for Multiple Devastating Cyber-Attacks", Kaspersky Lab.
- RBS (2014). "A Breakdown and Analysis of the December 2014 Sony Hack". RiskBased Security.
- Cameron, Dell (2016). "Security Researchers Say Mysterious 'Lazarus Group' Hacked Sony in 2014", The Daily Dot.
- Zetter, Kim (2014). "Sony Got Hacked Hard: What We Know and Don't Know So Far", Wired.
- Zetter, Kim (2016). "Sony Hackers Were Causing Mayhem Years Before They Hit The Company", Wired.

## 外部連結

- 對朴振赫的起訴書，2018年9月
- 對朴振赫、全昌赫和金日的起訴書，2020年1月
- 來自英國廣播公司國際頻道有關 拉撒路集團的報導

## 基本資料

- 原文名：Lazarus Group
- 成立時間：2009
- 類型：高級長期威脅
- 目標：網路間諜、網路戰
- 屬於：Lab 110 & Bureau 121
- 地區：朝鮮民主主義人民共和國平壤市普通江區域
- 方法：釣魚式攻擊、零日攻擊、惡意軟體、虛假資訊、後門程序和Dropper
- 語言：朝鮮語
- 上級組織：朝鮮人民軍總參謀部偵察總局、朝鮮電腦研究中心
- 隸屬：朝鮮人民軍第121局
- 前身：APT38、Gods Apostles、Gods Disciples、Guardians of Peace、ZINC、Whois Team、Hidden Cobra