Lazarus Group —también denominado en español Grupo Lazarus— es el nombre utilizado públicamente para identificar un conjunto de operaciones de ciberespionaje, sabotaje y robo financiero patrocinadas por el Estado norcoreano. La base de conocimientos MITRE ATT&CK advierte que Lazarus Group funciona a menudo como un término paraguas que engloba a varios operadores y campañas de la República Popular Democrática de Corea, mientras que distintas agencias gubernamentales y empresas de ciberseguridad dividen esa actividad en clústeres parcialmente solapados.
Estados Unidos atribuye el grupo a la Oficina General de Reconocimiento (RGB), principal servicio de inteligencia de Corea del Norte. En septiembre de 2019, la Oficina de Control de Activos Extranjeros del Departamento del Tesoro estadounidense sancionó a Lazarus Group, Bluenoroff y Andariel como agencias, instrumentos o entidades controladas por el Gobierno norcoreano y vinculadas al RGB. La estructura interna exacta, la cadena de mando y la correspondencia entre los nombres empleados por cada proveedor no se conocen públicamente con certeza.
El ecosistema Lazarus está activo al menos desde 2009. Sus operaciones conocidas abarcan ataques destructivos contra Corea del Sur, el ataque contra Sony Pictures Entertainment de 2014, el robo al Banco de Bangladés de 2016, el brote mundial de WannaCry de 2017, campañas contra redes bancarias y cajeros automáticos, espionaje industrial y militar, ataques de cadena de suministro de software y grandes robos de criptoactivos. Entre estos últimos figuran el ataque al puente Ronin en 2022, el robo de 308 millones de dólares a DMM Bitcoin en 2024 y el robo de aproximadamente 1500 millones de dólares a Bybit en 2025.
Denominación, atribución y estructura
El nombre Lazarus Group fue popularizado por investigadores de seguridad que relacionaron varias campañas mediante similitudes de código, infraestructura, procedimientos y horarios de trabajo. Una coalición encabezada por Novetta publicó en 2016 el informe de la «Operación Blockbuster», que vinculó el ataque a Sony con operaciones anteriores como Operation Troy y DarkSeoul mediante el análisis de decenas de familias de programas maliciosos.
Las denominaciones no son equivalencias perfectas. Algunas designan grupos analíticos, otras campañas concretas y otras conjuntos de actividad observados por una empresa. Entre los nombres empleados para partes del ecosistema figuran HIDDEN COBRA, Labyrinth Chollima, Diamond Sleet, ZINC, APT38, Bluenoroff, BeagleBoyz, STARDUST CHOLLIMA, Andariel, APT45, Onyx Sleet, AppleJeus, TraderTraitor, Jade Sleet, UNC4736, UNC4899 y TEMP.Hermit. Por ello, las fuentes especializadas recomiendan no interpretar «Lazarus» como una organización monolítica con límites universalmente aceptados.
+ Principales clústeres y denominaciones públicas Denominación Alias frecuentes Actividad observada Observaciones Lazarus Group HIDDEN COBRA, Labyrinth Chollima, Diamond Sleet, ZINC Ciberespionaje, sabotaje, operaciones destructivas y campañas financieras Se usa habitualmente como término paraguas; su perímetro varía según la fuente. Bluenoroff / APT38 BeagleBoyz, STARDUST CHOLLIMA, Sapphire Sleet Robos bancarios, manipulación de entornos SWIFT, fraude en cajeros automáticos y ataques contra criptoactivos El Tesoro estadounidense lo describe como un grupo creado para obtener ingresos ilícitos; MITRE lo trata como un grupo financiero estatal norcoreano activo desde al menos 2014. Andariel APT45, Onyx Sleet, Silent Chollima Espionaje técnico y militar, ataques contra defensa, energía, salud e infraestructuras; uso de ransomware en algunas operaciones Agencias de Estados Unidos, Reino Unido y Corea del Sur lo vinculan al Tercer Buró del RGB. AppleJeus / TraderTraitor Jade Sleet, UNC4899, Slow Pisces Ingeniería social contra profesionales de cadenas de bloques y criptomonedas, aplicaciones de negociación troyanizadas, robo de credenciales y manipulación de transacciones El FBI empleó el nombre TraderTraitor al atribuir los robos de DMM Bitcoin y Bybit.
Algunas fuentes estadounidenses sitúan a Lazarus bajo el Centro de Investigación 110 y el denominado Buró de Reconocimiento Técnico del RGB. Sin embargo, las asignaciones más detalladas entre departamentos, burós y clústeres proceden de atribuciones gubernamentales o modelos analíticos externos, no de documentación organizativa pública de Corea del Norte. No existe evidencia pública suficiente para identificar de manera inequívoca a todo Lazarus Group con una supuesta «Oficina de enlace 414», ni para atribuirle una sede concreta o un número conocido de integrantes.
Historia y operaciones
Operaciones tempranas contra Corea del Sur
La actividad asociada retrospectivamente con Lazarus se remonta al menos a 2009. Operation Troy agrupó campañas dirigidas principalmente contra instituciones gubernamentales, medios de comunicación, empresas financieras y otras organizaciones surcoreanas. Entre los incidentes relacionados se encuentran los ataques distribuidos de denegación de servicio de julio de 2009 y la campaña de marzo de 2011 conocida como Ten Days of Rain.
El 20 de marzo de 2013, el incidente conocido como DarkSeoul interrumpió varias cadenas de televisión y entidades financieras surcoreanas. El ataque utilizó programas destructivos que sobrescribieron el registro de arranque y dañaron sistemas, además de componentes destinados a propagarse y ejecutar el borrado de forma coordinada. La conexión de estas campañas con Lazarus se consolidó posteriormente mediante los análisis de la Operación Blockbuster y otros estudios técnicos.
Ataque a Sony Pictures Entertainment
El 24 de noviembre de 2014, empleados de Sony Pictures Entertainment encontraron sus equipos bloqueados por una imagen firmada por un grupo que se hacía llamar Guardians of Peace. Los atacantes habían sustraído correos electrónicos, documentos internos, información personal y copias de películas, y desplegaron un programa destructivo que inutilizó numerosos sistemas. El incidente estuvo acompañado por la publicación progresiva de datos robados y amenazas relacionadas con el estreno de la película The Interview.
El FBI atribuyó públicamente el ataque al Gobierno norcoreano el 19 de diciembre de 2014. La agencia citó similitudes de código, algoritmos de cifrado, métodos de borrado e infraestructura con programas maliciosos previamente vinculados a Corea del Norte, así como conexiones con direcciones de Internet empleadas en otras operaciones. En 2018, el Departamento de Justicia acusó al programador norcoreano Park Jin Hyok de participar en el ataque, además de en el robo al Banco de Bangladés y en WannaCry.
Robos bancarios y Banco de Bangladés
Desde mediados de la década de 2010, las operaciones financieras adquirieron un peso central. Programas maliciosos relacionados con Lazarus fueron asociados con intentos de fraude contra bancos de varios países, entre ellos Ecuador, Vietnam, Filipinas, Polonia, México y Taiwán. El clúster denominado Bluenoroff o APT38 se especializó en comprometer redes bancarias, estudiar durante meses los procedimientos internos de las víctimas y manipular sistemas conectados a SWIFT para ordenar transferencias fraudulentas y ocultar las pruebas.
En febrero de 2016, los atacantes comprometieron el Banco de Bangladés y enviaron desde su cuenta en el Banco de la Reserva Federal de Nueva York más de treinta órdenes fraudulentas por un total cercano a 1000 millones de dólares. La mayoría fueron bloqueadas, pero aproximadamente 81 millones se transfirieron a cuentas en Filipinas y posteriormente fueron objeto de blanqueo. El ataque se convirtió en uno de los ejemplos más destacados de robo bancario mediante el compromiso de la infraestructura SWIFT.
Entre otras operaciones financieras se atribuyeron a APT38 intentos contra Tien Phong Bank en Vietnam y Banco del Austro en Ecuador, el robo al Far Eastern International Bank de Taiwán y campañas de retirada simultánea de efectivo en cajeros automáticos conocidas como FASTCash o BeagleBoyz.
WannaCry
El 12 de mayo de 2017 comenzó la propagación mundial de WannaCry, un ransomware con capacidades de gusano que explotaba una vulnerabilidad del protocolo SMB mediante la herramienta conocida como EternalBlue. El brote afectó a alrededor de 300 000 equipos en unos 150 países y causó interrupciones graves en organizaciones como el Servicio Nacional de Salud británico, empresas de telecomunicaciones, fabricantes y organismos públicos.
Investigadores de varias empresas identificaron similitudes entre una versión temprana de WannaCry y herramientas usadas anteriormente por Lazarus. Estados Unidos y el Reino Unido atribuyeron posteriormente el ataque a Corea del Norte, y las acusaciones penales estadounidenses de 2018 y 2021 incluyeron WannaCry entre las operaciones realizadas por miembros del RGB. Aunque el programa exigía un rescate, su diseño deficiente para identificar y recuperar los pagos, junto con su propagación indiscriminada, hizo que también tuviera un efecto destructivo y disruptivo a gran escala.
Expansión hacia las criptomonedas
El interés del ecosistema Lazarus por las criptomonedas se hizo visible durante la segunda mitad de la década de 2010. Las campañas incluyeron ataques de spear phishing contra empleados de casas de cambio, explotación de programas de uso habitual en Corea del Sur y aplicaciones de negociación troyanizadas distribuidas bajo marcas ficticias. CISA denominó AppleJeus a varias familias de aplicaciones maliciosas para Windows y macOS que simulaban ser herramientas legítimas de compraventa de criptoactivos.
La campaña denominada TraderTraitor se dirigió a compañías de cadenas de bloques y criptomonedas mediante ofertas laborales falsas, conversaciones prolongadas en redes profesionales y aplicaciones o proyectos de programación manipulados. Una vez comprometido un empleado, los operadores intentaban obtener acceso a claves, sesiones, sistemas de firma y procesos de transferencia de activos.
En marzo de 2022 se sustrajeron criptomonedas valoradas en aproximadamente 620 millones de dólares del puente Ronin, utilizado por el videojuego Axie Infinity. El Tesoro estadounidense atribuyó el robo a Lazarus y sancionó posteriormente servicios de mezcla utilizados para blanquear parte de los fondos, entre ellos Blender.io.
En mayo de 2024, operadores identificados como TraderTraitor robaron 4502,9 bitcoines, valorados entonces en unos 308 millones de dólares, de la casa de cambio japonesa DMM Bitcoin. Según la investigación conjunta del FBI, la policía japonesa y el Centro de Ciberdelitos de Defensa estadounidense, un atacante se hizo pasar por reclutador, envió a un empleado de la empresa de monederos Ginco una prueba de programación maliciosa alojada en GitHub, robó información de sesión y manipuló posteriormente una solicitud legítima de transferencia.
El 21 de febrero de 2025, Bybit sufrió la sustracción de aproximadamente 1500 millones de dólares en activos digitales. El FBI atribuyó el ataque a TraderTraitor y afirmó que los operadores convirtieron rápidamente parte de los activos y los dispersaron por miles de direcciones en múltiples cadenas de bloques. El incidente fue descrito en ese momento como el mayor robo de criptoactivos conocido por valor económico.
Espionaje y falsas ofertas de trabajo
Además de las operaciones financieras, Lazarus ha mantenido campañas de espionaje contra industrias estratégicas. Operation Dream Job, también conocida en algunas fuentes como DeathNote, utiliza perfiles falsos de reclutadores, ofertas de empleo y supuestas pruebas técnicas para inducir a empleados de defensa, aeroespacial, tecnología, ingeniería y criptomonedas a abrir documentos o ejecutar proyectos manipulados.