Una nuova analisi rivela che il gruppo Lazarus, associato alla Corea del Nord, opera attraverso sei distinti cluster cibernetici, ciascuno con obiettivi e tattiche specifiche, dall'intelligence finanziaria all'espionaggio.
Una recente analisi condotta da Sekoia e Kudelski Security ha messo in luce una riorganizzazione significativa delle capacità offensive cibernetiche della Corea del Nord, precedentemente raggruppate sotto il nome di Lazarus. La ricerca ha identificato sei cluster distinti che operano in modo indipendente ma coordinato, ciascuno focalizzato su specifiche missioni che spaziano dall'intelligence finanziaria all'evasione delle sanzioni e all'espionaggio.
I ricercatori hanno denominato questi sei cluster come TEMP.Hermit, Citrine Sleet, CryptoCore, Jade Sleet, Moonstone Sleet e Famous Chollima. Questa suddivisione non è casuale, ma si basa sull'analisi delle tattiche, tecniche e procedure (TTPs) impiegate da ciascun gruppo e sulla natura delle operazioni condotte. La continua riorganizzazione e il cambio di nomi delle unità cibernetiche nordcoreane rendono complessa l'attribuzione delle attività e la mappatura della loro struttura, che in gran parte fa capo al GRIB (precedentemente noto come RGB), il principale ufficio di intelligence militare del paese.
Ogni cluster sembra avere un mandato specifico:
Un'altra entità, Andariel, opera con un mandato simile a Moonstone Sleet, combinando attività di spionaggio e finanziarie.
Un aspetto cruciale delle operazioni cibernetiche nordcoreane, evidenziato dal rapporto, è l'impiego di migliaia di lavoratori IT che operano sotto false identità. Questi individui generano entrate per il regime e acquisiscono accesso a organizzazioni attraverso impieghi legittimi, come consulenti remoti o professionisti IT. Una volta all'interno, possono interrogare documentazione aziendale interna o sfruttare l'accesso per condurre ulteriori attività, che vanno dal furto di criptovalute all'espionaggio.
Il rapporto collega direttamente questi finti lavoratori IT a significativi furti di criptovalute, citando un exploit da 62,5 milioni di dollari ai danni del protocollo Munchables. Il programma dei lavoratori IT serve a molteplici scopi: le loro retribuzioni vengono inviate in Corea del Nord per aggirare le sanzioni internazionali, mentre l'accesso ottenuto tramite l'impiego può essere sfruttato per furti finanziari o attività di spionaggio.
L'ecosistema che supporta queste operazioni è vasto e comprende società di facciata, istituzioni educative e infrastrutture in paesi terzi, tra cui Cina, Russia, Sud-est asiatico e Africa. Queste reti forniscono copertura operativa, facilitano l'accesso a sistemi e reti target e fungono da meccanismi per il trasferimento di fondi illeciti. La distinzione tra attività di spionaggio e generazione di entrate, secondo gli analisti, è meno netta di quanto possa apparire, suggerendo una strategia integrata volta a sostenere il regime nordcoreano sia economicamente che politicamente.
La frammentazione del gruppo Lazarus in cluster specializzati indica una maturazione delle capacità cibernetiche nordcoreane, che mirano a massimizzare l'efficacia delle loro operazioni distribuendo i compiti e rendendo più difficile l'identificazione e il contrasto delle loro attività.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
