Nordkoreas Lazarus-Gruppe teilt Cyberangriffswerkzeuge und Infrastruktur mit Ransomware-Kriminellen, einschließlich der Gunra-Gruppe, die südkoreanische Organisationen angreifen. Eine gemeinsame Warnung von vier südkoreanischen Sicherheits- und Geheimdiensten sowie Forschungen des Cybersicherheitsunternehmens AhnLab zeigen, dass beide Gruppen parallel zwischen 2025 und der ersten Jahreshälfte 2026 gegen südkoreanische Ziele vorgingen und dieselben Schwachstellen in koreanischer Finanzsicherungssoftware ausnutzten. Beide verwendeten identische Malware-Dateinamen, Eskalationswerkzeuge, Command-and-Control-Server und SSH-Schlüssel-Fingerabdrücke. Die Lazarus-Gruppe installierte Spionage-Backdoors in mindestens 72 Organisationen, während Gunra Dateien verschlüsselte und Erpressungsgelder forderte. Das Cybersicherheitsunternehmen benannte die Kampagne "Operation Double Barrel". Der U.S. Department of Justice erhob Anklage gegen Rim Jong Hyok, ein vermutliches Mitglied der nordkoreanischen Andariel-Einheit, für seine Rolle bei Ransomware-Angriffen auf US-amerikanische Krankenhäuser.
Kernpunkte:
- Cyberangriffswerkzeuge und Infrastruktur der Lazarus-Gruppe scheinen mit Ransomware-Kriminellen, die südkoreanische Organisationen angreifen, geteilt worden zu sein.
- Der technische Bericht von AhnLab zeigt, dass die staatlich unterstützte Lazarus-Gruppe und das Gunra-Ransomware-Schema zwischen 2025 und der ersten Jahreshälfte 2026 parallele Kampagnen gegen südkoreanische Ziele führten und sich nur in ihrem Endziel unterschieden.
- Beide Gruppen nutzen dieselben Schwachstellen in koreanischen Finanzsicherungssoftwareprodukten aus.
Quelle: The Record (Recorded Future) (Englisch)