Detecta, responde, protege
Descubre cómo el Huntress SOC global puede complementar a tu equipo
con cobertura 24/7 y experiencia humana inigualable.
Comienza hoy tu prueba gratuita.
Perfil del actor de amenazas
Lazarus Group
El Lazarus Group, también identificado como HIDDEN COBRA, ZINC, Labyrinth Chollima y Guardians of Peace, es una organización cibercriminal patrocinada por el estado norcoreano. Activo desde al menos 2009, Lazarus abarca un conjunto de operaciones cibernéticas norcoreanas especializadas en robo financiero, espionaje cibernético y ciberataques destructivos. Han atacado sectores como finanzas, gobierno e infraestructura crítica, utilizando tácticas sofisticadas y malware personalizado.
Perfil del actor de amenazas
Lazarus Group
País de origen
Lazarus Group está vinculado a Corea del Norte y se cree que opera bajo la Oficina General de Reconocimiento, la principal agencia de inteligencia de la República Popular Democrática de Corea (RPDC). Las actividades del grupo se alinean con objetivos estatales, incluyendo la obtención de ganancias financieras para una economía afectada por sanciones internacionales y el avance de los objetivos políticos del régimen.
Miembros
Lazarus Group está estructurado en subgrupos especializados con mandatos operativos distintos. Bluenoroff (también identificado como APT38, Stardust Chollima, Sapphire Sleet) se enfoca en robos financieros a gran escala, intercambios de criptomoneda y sistemas bancarios SWIFT, siendo responsable del robo al Banco de Bangladesh y de miles de millones en robos posteriores de criptomoneda. Andariel se centra en operaciones de espionaje dirigidas principalmente a entidades de defensa, gobierno e infraestructura crítica de Corea del Sur, y ha llevado a cabo cada vez más operaciones de ransomware contra organizaciones de salud a nivel mundial.
Liderazgo
El liderazgo de Lazarus Group sigue siendo mayormente desconocido. Sin embargo, se dice que está dirigido por la Oficina General de Reconocimiento de Corea del Norte. Cabe destacar que Park Jin Hyok, miembro de la empresa conjunta Chosun Expo, fue acusado en 2018 por el Departamento de Justicia de EE. UU. por su participación en operaciones asociadas con Lazarus.
TTPs del Lazarus Group
tácticas
Robo financiero y manipulación de transferencias de fondos, como ataques SWIFT.
Campañas de espionaje para recolectar datos confidenciales.
Disrupción mediante ransomware y malware de tipo wiper.
técnicas
Acceso inicial: correos de spear-phishing y ataques de watering hole.
Ejecución: uso de scripts de PowerShell y macros maliciosas en documentos.
Persistencia: tareas programadas, claves de ejecución del registro o implantes de malware personalizados.
Escalada de privilegios: explotación de vulnerabilidades de software.
Evasión de defensas: malware sin archivos y disfraz como software legítimo.
Acceso a credenciales: registro de teclas y volcado de credenciales mediante Mimikatz.
Descubrimiento: enumeración de redes y sistemas con herramientas como Nmap.
Movimiento lateral: pass-the-hash y PsExec para desplazarse por la red.
Recolección: preparación de datos y herramientas de exfiltración como archivos RAR.
C2 (Comando y control): uso de servidores comprometidos y canales cifrados.
Exfiltración: protocolos HTTP/HTTPS para el robo de datos.
Procedimientos
Lazarus desarrolla continuamente herramientas personalizadas y hace evolucionar sus métodos. Entre el malware clave se incluyen:
Ransomware WannaCry.
Malware de criptomonedas AppleJeus.
RATANKBA (herramientas de acceso remoto)
¿Quieres detener las amenazas antes de que comiencen?
Ciberataques destacados
Aplicación de la ley y arrestos
El Departamento de Justicia de EE. UU. acusó a Park Jin Hyok en 2018 por su presunto papel en operaciones de Lazarus. Se han impuesto sanciones a entidades norcoreanas acusadas de apoyar campañas cibernéticas, entre ellas Lazarus (fuente).
Cómo defenderte de Lazarus Group
1
Detección y respuesta para endpoints (EDR): soluciones como Huntress pueden detectar amenazas en múltiples etapas de un ataque, evitando que el compromiso escale.
2
Segmentación de redes: restringe el movimiento lateral aislando sistemas sensibles.
3
Monitoreo de inteligencia de amenazas: rastrea los IOC específicos de Lazarus para bloquear infraestructura maliciosa.
4
Capacitación de concientización para usuarios: reduce la susceptibilidad al phishing mediante iniciativas de capacitación.
5
Configuraciones seguras: refuerza los sistemas parchando vulnerabilidades conocidas y deshabilitando servicios innecesarios.
Las soluciones de Huntress ayudan a proteger a las organizaciones monitoreando endpoints, detectando intrusiones y mitigando amenazas como Lazarus Group con tecnología de nivel empresarial.
