Le groupe Lazarus (également connu sous le nom de Guardians of Peace ou Whois Team...) est un groupe de hackers prétendument dirigé par le gouvernement de la Corée du Nord. Si l’on sait peu de choses sur le groupe Lazarus, les chercheurs lui ont attribué de nombreuses cyberattaques entre 2010 et 2021. Il s'agit à l'origine un groupe criminel. Le groupe a ensuite été désigné comme une menace persistante avancée en raison de la nature intentionnelle, de la menace et du large éventail de méthodes utilisées lors de la conduite d'une opération. Les organisations de cybersécurité lui donnent également le nom de Hidden Cobra (utilisé par le département américain de la Sécurité intérieure pour désigner les cyberactivités malveillantes du gouvernement nord-coréen en général).. et ZINC ou Diamond Sleet. (par Microsoft).... Selon le transfuge nord-coréen Kim Kuk-song, l'unité est connue en Corée du Nord sous le nom de Bureau de liaison 414..
Le groupe Lazarus entretient des liens étroits avec la Corée du Nord... Le ministère américain de la Justice affirme que le groupe fait partie de la stratégie du gouvernement nord-coréen visant à « saper la cybersécurité mondiale… et à générer des revenus illicites en violation des… sanctions ».. La Corée du Nord profite de la conduite de cyberopérations car elle peut présenter une menace asymétrique avec un petit groupe d’opérateurs, en particulier pour la Corée du Sud..
Histoire La première attaque dont le groupe est responsable est connue sous le nom d'« Opération Troie », qui a lieu de 2009 à 2012. Il s'agit d'une campagne de cyberespionnage utilisant des techniques simples d'attaque par déni de service distribué (DDoS) pour cibler le gouvernement sud-coréen à Séoul. Ils sont également responsables d'attaques en 2011 et 2013. Il est possible qu'ils soient également à l'origine d'une attaque visant la Corée du Sud en 2007, mais cela reste incertain.. Le groupe Lazarus est également connu pour l'attaque de 2014 contre Sony Pictures. L'attaque de Sony a utilisé des techniques plus sophistiquées et a mis en évidence la progression du groupe au fil du temps.
Le groupe Lazarus aurait volé 12 millions de dollars à la Banco del Austro en Équateur et 1 million de dollars à la banque Tien Phong au Vietnam en 2015.. Ils ont également ciblé des banques en Pologne et au Mexique. Le braquage de banque de 2016. comprenait une attaque contre la banque du Bangladesh, le groupe Lazarus a réussi à voler 81 millions de dollars américains lors de ce braquage. En 2017, le groupe Lazarus aurait volé 60 millions de dollars américains à la Banque internationale d'Extrême-Orient de Taiwan, bien que le montant réel volé ne soit pas clair et que la plupart des fonds aient été récupéré.
On ne sait pas avec exactitude qui se cache derrière ce groupe, mais les médias ont suggéré que le groupe avait des liens avec la Corée du Nord. Kaspersky Lab a rapporté en 2017 que le groupe Lazarus a tendance à se concentrer sur les cyberattaques d'espionnage et d'infiltration, tandis qu'un sous-groupe au sein de leur organisation, que Kaspersky appelle Bluenoroff, est spécialisé dans les cyberattaques financières. Kaspersky a trouvé plusieurs attaques dans le monde entier et un lien direct (adresse IP) entre Bluenoroff et la Corée du Nord..
Cependant, Kaspersky a également reconnu que la répétition du code pouvait être un mauvais indice, une sorte de « fausse bannière » destinée à induire les enquêteurs en erreur et à imputer l'attaque à la Corée du Nord, étant donné que la cyberattaque mondiale du ver WannaCry a également copié les techniques de la NSA. Ce rançongiciel exploite une faille de la NSA connue sous le nom d'EternalBlue, qu'un groupe de pirates informatiques connu sous le nom de Shadow Brokers a rendu public en . Symantec a rapporté en 2017 qu'il était « très probable » que le groupe Lazarus soit à l'origine de l'attaque WannaCry.
Le , un rapport VirusBulletin (VB) 2025 Berlin (24 - 26 September, 2025) DeceptiveDevelopment : from primitive crypto theft to sophisiticated Ai-Based deception https://www.virusbulletin.com/uploads/pdf/conference/vb2025/papers/DeceptiveDevelopment-and-North-Korean-IT-workers-from-primitive-crypto-theft-to-sophisticated-AI-based-deception.pdf. publié par deux chercheurs de l'ESET, notamment basé sur des données OSINT ont pointé les pratiques internes des IT workers nord-coréens impliqués dans des schémas d'emploi frauduleux, et leurs liens opérationnels avec DeceptiveDevelopment. pointe des interactions techniques (partage de codes) et informationnelles (échange d'informations volées) entre plusieurs groupes cybercriminels nord-coréens : Lazarus (qui semble aussi impliqué dans le financement du programme nucléaire du régime). ; DeceptiveDevelopment (groupe actif depuis 2023, également connu sous le nom de Contagious Interview, qui s'est spécialisé dans le vol de crypto-monnaies via des campagnes d'ingénierie sociale ciblant. les développeurs freelance opérant sur les systèmes Windows, Linux et macOS, notamment par le biais de faux entretiens d'embauche sur LinkedIn et de la méthode ClickFix. Initialement doté d'outils rudimentaires comme BeaverTail et InvisibleFerret, le groupe a récemment milieu des années 2020 utilisé des outils plus sophistiqués ( Tropidoor, TsunamiKit et WeaselStore) et intégré des éléments de code issus du malware PostNapTea, développé par Lazarus) ; les IT workers nord-coréens (c'est-à-dire un ensemble de professionnels de l’informatique affiliés au régime de Pyongyang, souvent spécialisés dans le développement logiciel, la cybersécurité ou l’administration système. Bien qu’ils puissent apparaître comme des freelances ou des employés légitimes sur des plateformes internationales, leur véritable objectif est souvent 1) de générer des revenus pour le régime qui est sous embargo international, dont en travaillant à distance pour des entreprises étrangères, notamment américaines ou européennes, parfois sous de fausses identités ; 2) collecter des informations sensibles pouvant servir à l’espionnage, à l’extorsion ou à la compromission de systèmes). Impliqués dans des opérations d'infiltration d'entreprises occidentales via des « laptop farms » et des usurpations d'identité pour accéder à des postes en télétravail. Ces connexions se manifestent par des échanges d'emails, des interactions sur GitHub et la réutilisation de données collectées lors des faux entretiens. Bien que les chercheurs d'ESET ne puissent confirmer une fusion entre ces groupes, ils décrivent un système d'échanges nord-coréen marqué par la porosité entre acteurs étatiques et privés, où se mêlent cybercriminalité, espionnage et financement illicite au service des ambitions stratégiques du régime de Pyongyang..
2009 Opération Troie Le premier incident de piratage informatique majeur du groupe Lazarus a lieu le et déclenche le début de « l'opération Troie ». Cette attaque utilise les logiciels malveillants Mydoom et Dozer pour lancer une attaque DDoS à grande échelle, mais peu sophistiquée, contre des sites web américains et sud-coréens. La volée d'attaques touche environ trois douzaines de sites Web et place le texte "Memory of Independence Day" dans le master boot record (MBR).
Cyberattaque en Corée du Sud en 2013 (Opération 1Mission/DarkSeoul) Au fil du temps, les attaques de ce groupe deviennent plus sophistiquées ; leurs techniques et outils sont devenus mieux développés et plus efficaces. L'attaque de , connue sous le nom de « Ten Days of Rain », vise les médias, les finances et les infrastructures critiques sud-coréennes et consiste en des attaques DDoS plus sophistiquées provenant d'ordinateurs compromis en Corée du Sud. Les attaques se sont poursuivies le avec DarkSeoul, une attaque de type wiper qui cible trois sociétés de diffusion télévisuelles sud-coréennes, des instituts financiers et un fournisseur d'accès internet (FAI). À l'époque, deux autres groupes, appelés « NewRomanic Cyber Army Team et WhoIs Team », s'attribuent le mérite de cette attaque, mais les chercheurs ne savent pas que le groupe Lazarus est derrière cette attaque, à l'époque. Les chercheurs connaissent aujourd'hui le groupe Lazarus comme un supergroupe à l'origine des attaques perturbatrices.
Fin 2014 : brèche chez Sony Les attaques du groupe Lazarus culminent le . Ce jour-là, un article sur Reddit est apparu indiquant que Sony Pictures avait été piraté par des moyens inconnus ; les auteurs se sont identifiés comme les « Gardiens de la paix ». De grandes quantités de données ont été volées et lentement divulguées dans les jours qui suivent l'attaque. Une interview avec une personne prétendant faire partie du groupe permet de savoir que ceux-ci siphonnaient les données de Sony depuis plus d'un an.
Les pirates ont pu accéder à des films inédits, aux scénarios de certains films, aux projets de futurs films, aux informations sur les salaires des dirigeants de l'entreprise, aux courriers électroniques et aux informations personnelles d'environ 4000 employés.
Enquête début 2016 : Opération Blockbuster Sous le nom d'« Opération Blockbuster », une coalition de sociétés de sécurité, dirigée par Novetta., a pu analyser des échantillons de logiciels malveillants trouvés dans différents incidents de cybersécurité. Grâce à ces données, l'équipe a pu analyser les méthodes utilisées par les pirates. Ainsi ils ont pu lier le groupe Lazarus à un certain nombre d'attaques grâce à un modèle de réutilisation de code.
Cyber-braquage d'une banque du Bangladesh en 2016 Le cyber-braquage de la Bangladesh Bank est un vol qui a eu lieu en . Trente-cinq instructions frauduleuses ont été émises par des pirates informatiques via le réseau SWIFT pour transférer illégalement près d'un milliard de dollars depuis le compte de la Federal Reserve Bank de New York appartenant à la Bangladesh Bank, la banque centrale du Bangladesh. Cinq des trente-cinq instructions frauduleuses ont réussi à transférer 101 millions de dollars américains, dont 20 millions de dollars américains étaient attribués au Sri Lanka et 81 millions de dollars américains aux Philippines. La Federal Reserve Bank de New York a bloqué les trente transactions restantes, pour un montant de 850 millions de dollars, en raison de soupçons suscités par une instruction mal orthographiée. Les experts en cybersécurité ont affirmé que le groupe Lazarus, basé en Corée du Nord, était à l'origine de l'attaque.
Attaque du rançongiciel WannaCry de mai 2017 L'attaque WannaCry est une cyberattaque massive de rançongiciel qui a frappé des institutions du monde entier, du NHS en Grande-Bretagne à Boeing et même aux universités en Chine le . L'attaque a duré 7 heures et 19 minutes. Europol estime qu'elle a touché près de 200 000 ordinateurs dans 150 pays, touchant principalement la Russie, l'Inde, l'Ukraine et Taiwan. Il s'agit de l'une des premières attaques à transiter par un ver cryptographique . Les cryptoworms sont une forme récente de virus informatique qui peut voyager entre ordinateurs en utilisant des réseaux, en exploitant le port TCP 445 ). Pour être infecté, il n'est pas nécessaire de cliquer sur un mauvais lien : le malware peut se propager de manière autonome, depuis un ordinateur vers une imprimante connectée, puis au-delà vers des ordinateurs adjacents, éventuellement connectés au wifi, etc. La vulnérabilité du port 445 a permis que des logiciels malveillants se déplacent librement sur les intranets et infectent rapidement des milliers d'ordinateurs. L'attaque Wannacry a été l'une des premières utilisations à grande échelle d'un ver cryptographique..
Attaque