گروه هکری لازاروس یک شبکه مخوف است که از زیرشاخه‌های متعددی تشکیل شده است. این گروه هکری که حمایت دولت کره شمالی را دارد، از سال ۲۰۰۹ تاکنون مسئول حملات خرابکارانه زیادی از جمله جاسوسی، حمله به تأسیسات ملی کشورها، ایجاد اخلال در شرکت‌های خصوصی، اخاذی و سرقت از صرافی‌های ارز دیجیتال بوده است.
لازاروس برای انجام عملیات خود، از بدافزارها و تکنیک‌های پیچیده‌ای استفاده می‌کند و تا امروز، تأثیر قابل‌توجهی بر امنیت سایبری جهانی گذاشته است. اما گروه لازاروس کیست و چه ارتباطی با کره شمالی دارد؟ در این مطلب، تاریخچه شکل‌گیری و معروف‌ترین حملات سایبری لازاروس را معرفی کرده و روش‌ها و تکنیک‌های آن‌ها را بررسی می‌کنیم.
گروه لازاروس (Lazarus Group)، یکی از مخوف‌ترین گروه‌های هکری دنیاست که به‌خاطر داشتن حمایت دولت کره شمالی (North Korea)، هیچ ابایی از دستگیری و مواجه با محکومیت ندارد. این گروه تاکنون بیش از ۳۸ کشور را هدف حملات خود قرار داده است.
با اینکه این گروه برای فرار از شناسایی از روش‌هایی مانند غیرفعال‌سازی پروتکل‌های پایش در سیستم‌عامل قربانیان استفاده می‌کند، تحلیل بدافزارهای (Malware) مورد استفاده آن‌ها، درک بهتری از روش‌ها و اهداف این گروه فراهم کرده است.
تاریخچه گروه لازاروس به حملات دیداس (DDoS) به صنایع مختلف کره جنوبی در سال ۲۰۰۹ بازمی‌گردد. این گروه هکری با حمایت کره شمالی، به انجام هک دولتی (State-sponsored Hacking) می‌پردازد.
طی سال‌ها فعالیت، این گروه هکری کمپین‌های متعددی را اجرا کرده است که از مهمترین آن‌ها، هک گسترده شرکت فیلم‌سازی سونی پیکچرز در سال ۲۰۱۴ و بانک مرکزی بنگلادش در سال ۲۰۱۶ هستند.
براساس تحقیقات، گروه هکری لازاروس در کره شمالی مستقر و به اداره کل شناسایی (Reconnaissance General Bureau) این کشور وابسته است. RGB یکی از نهادهای اطلاعاتی اصلی کره شمالی است که وظیفه جاسوسی، عملیات مخفیانه و جاسوسی سایبری (Cyber Espionage) را بر عهده دارد. این سازمان در سال ۲۰۰۹ تأسیس شد.
تا امروز، سازمان‌های امنیتی جهانی (Global Security Agencies) به بررسی زوایای حملات لازاروس گروپ پرداخته‌اند. شرکت Group-IB یکی از این سازمان‌هاست که اقدامات هکرهای لازاروس و جزئیات حملات آن را بررسی و تحلیل کرده است.
در این تحقیق، شرکت Group-IB توانسته با ردیابی آی‌پی، ارتباط گروه هکری لازاروس با کره شمالی را شناسایی کند. براساس این گزارش، لازاروس احتمالاً تحت کنترل یکی از زیرشاخه‌های RGB به‌نام «اداره ۱۲۱ (Bureau ۱۲۱)» قرار دارد.
کیم کوک-سونگ، یکی از جداشدگان از کره شمالی، نیز گفته است که این واحد در داخل این کشور با نام «دفتر رابط ۴۱۴ (Liaison Office ۴۱۴)» شناخته می‌شود.
لازاروس گروپ، چند زیر شاخه اصلی دارد که هر کدام بر اهداف و مناطق جغرافیایی مختلفی متمرکزند:
| نام زیرشاخه | هدف اصلی | نوع عملیات | اهداف جغرافیایی | نتیجه |
| BlueNorOff معروف به APT38 | سرقت مالی | حملات به بانک‌ها و صرافی‌ها | جهانی؛ بیش از ۱۶ سازمان در ۱۳ کشور | استفاده از بودجه به‌دست‌آمده برای پشتیبانی از برنامه‌های موشکی و هسته‌ای کره شمالی |
| Andariel | شناسایی و نفوذ زیرساخت | جاسوسی و اخلال | سازمان‌ها و مؤسسات مالی در کره جنوبی | آماده‌سازی حملات احتمالی در آینده |
| APT۳۷ معروف به Reaper و ScarCruft | جاسوسی نظامی-سیاسی | بدافزار و فیشینگ | کره جنوبی، ژاپن، خاورمیانه | جاسوسی از سازمان‌های دولتی، ارتش، شرکت‌های دفاعی، فعالان حقوق بشر، سیاست‌مداران و نهادهای غیردولتی |
| Kimsuky معروف به Thallium و Velvet Chollima | جاسوسی استراتژیک | فیشینگ هوشمند و سرقت داده | ایالات متحده، کره جنوبی، اروپا | جاسوسی از پژوهشگران سیاست خارجی، اندیشکده‌ها، دانشگاه‌ها، خبرنگاران و مؤسسات درگیر با موضوعات مرتبط با کره شمالی |
هکرهای گروه لازاروس از سال ۲۰۰۷ حملات خود را آغاز کردند. در زیر، حملات سایبری معروف لازاروس را مشاهده می‌کنید:
یکی از نخستین حملات شناخته‌شده منتسب به گروه هکر سایبری (Cyber Hackers) لازاروس، کمپینی به‌نام «عملیات تروی (Operation Troy)» بود که بین سال‌های ۲۰۰۹ تا ۲۰۱۲ اجرا شد. این عملیات، یک کمپین جاسوسی سایبری بود که در آن از تکنیک‌های نسبتاً ساده حملات DDoS برای جمع‌آوری اطلاعات و اخلال در زیرساخت‌های دولت کره جنوبی در سئول استفاده شد.
گروه هکری لازاروس مسئول یکی از ویرانگرترین حملات سایبری (Cyber Attacks) به شرکت سونی پیکچرز در نوامبر ۲۰۱۴ بوده است. گروه هکری «The Guardians of Peace» مسئولیت این حمله را که در قالب کمپینی به‌نام «عملیات بلاک‌باستر» (Operation Blockbuster) توسط شرکت Novetta افشا شد، برعهده گرفتند. بعدها مشخص شد این گروه از اعضای لازاروس بوده‌اند.
براساس گفته‌ها، علت این حمله، اعتراض به تولید فیلم «The Interview» بوده است که رهبر کره شمالی را به تمسخر می‌گیرد. کره شمالی این فیلم را «اقدامی جنگ‌طلبانه و توهین‌آمیز» توصیف و تهدید کرد که اگر ایالات متحده جلوی اکران آن را نگیرد، «پاسخی بی‌رحمانه» خواهد داد. پس از جدی گرفته نشدن این تهدیدها، حمله سایبری به سونی آغاز شد.
طبق اعلام رسمی سونی، این حمله حدود ۱۵ میلیون دلار خسارت مستقیم به این شرکت وارد کرده است. بااین‌حال، برآوردهای دیگر، میزان خسارات را بین ۳۵ میلیون تا بیش از ۸۵ میلیون دلار تخمین می‌زنند. در طول حمله، حجم زیادی از داده‌ها از جمله فیلم‌های منتشرنشده سونی پیکچرز سرقت و به‌تدریج در اینترنت منتشر شد.
در می ۲۰۱۷، گروه لازاروس با انتشار باج‌افزاری (Ransomware) به‌نام «WannaCry»، میلیون‌ها فایل را در کامپیوترهای قربانیان رمزگذاری و برای بازیابی آن‌ها، تقاضای باجی بین ۳۰۰ تا ۶۰۰ دلار به‌صورت بیت کوین کرد.
بر اساس تخمین‌ها، بیش از ۲۰۰ هزار کامپیوتر در بالای ۱۵۰ کشور در دام این بدافزار افتادند. اگرچه میزان باج دریافت‌شده توسط هکرهای لازاروس در این کمپین نسبتاً کم (حدود ۵۱.۶ بیت کوین به قیمت هر واحد ۱۸۹۵ دلار و جمعاً ۱۳۰ هزار دلار در آن زمان) بود، اما خسارت بالای ۴ میلیارد دلاری را وارد کرد.
طی سال‌ها، لازاروس با حمله به بانک‌ها و مؤسسات مالی کشورهای مختلف، مبالغ مختلفی را سرقت کرده است که در جدول زیر مشاهده می‌کنید:
| سال | هدف | کشور | میزان سرقت | جزئیات حمله |
| ۲۰۱۵ | بانک دل آوسترو (Banco del Austro) | اکوادور | ۱۲ میلیون دلار | از طریق شبکه سوئیفت (SWIFT) و انتقال وجوه به حساب‌های هنگ‌کنگ |
| ۲۰۱۵ | بانک تیان فونگ (Tien Phong Bank) | ویتنام | ۱ میلیون دلار | از طریق شبکه سوئیفت |
| ۲۰۱۶ | بانک مرکزی بنگلادش | بنگلادش | ۸۱ میلیون دلار (از تلاش برای سرقت ۹۵۱ میلیون دلار) | از طریق شبکه سوئیفت؛ ۵ تراکنش موفق و ۳۰ تراکنش مسدود شده |
| ۲۰۱۷ | بانک بین‌المللی فار ایسترن (Far Eastern International Bank) | تایوان | ۶۰ میلیون دلار (بیشتر آن بازیابی شد) | از طریق بدافزار و انتقال وجوه به حساب‌های خارجی |
از سال ۲۰۱۷ تاکنون، گروه هکری لازاروس به صرافی‌ها، کیف پول‌ها و پروتکل‌های کریپتویی و بلاک چینی نیز حمله کرده و تا امروز در سال ۲۰۲۵، بیش از ۶ میلیارد دلار ارز دیجیتال را به سرقت برده است. در جدول زیر، لیستی از این حملات را مشاهده می‌کنید:
| سال | هدف | مبلغ سرقتی | روش‌ها |
| ۲۰۱۷ | صرافی بیت‌هامب (Bithumb) | ۷ میلیون دلار | فیشینگ هدفمند، سوءاستفاده از ضعف‌های امنیتی |
| ۲۰۱۸ | صرافی کوین‌چک (Coincheck) | ۵۳۴ میلیون دلار | فیشینگ هدفمند، بدافزار، نفوذ داخلی |
| ۲۰۱۸ | صرافی یو‌بیت (Youbit) | نامشخص | فیشینگ، دسترسی غیرمجاز، سوءاستفاده از API |
| ۲۰۱۹ | صرافی آپ‌بیت (Upbit) | ۴۹ میلیون دلار | مهندسی اجتماعی، دسترسی غیرمجاز، نفوذ به کیف پول‌های گرم |
| ۲۰۲۰ | صرافی کوکوین (KuCoin) | ۲۷۵ میلیون دلار | فیشینگ، پر کردن اعتبارنامه، نفوذ به کیف پول‌های گرم |
| ۲۰۲۰ | صرافی اتربیس (Eterbase) | ۵.۴ میلیون دلار | فیشینگ، سرقت اطلاعات کاربری، مهندسی اجتماعی |
| ۲۰۲۱ | صرافی لیکوئید (Liquid) | ۹۷ میلیون دلار | نفوذ به نودهای اعتبارسنج، مهندسی اجتماعی |
| ۲۰۲۱ | پل بلاکچینی رونین (Ronin Network) | ۶۰۰ میلیون دلار | سوءاستفاده از آسیب‌پذیری کیف پول‌های چندامضایی، مهندسی اجتماعی |
| ۲۰۲۲ | پل بلاکچینی هارمونی (Harmony Bridge) | ۱۰۰ میلیون دلار | سوءاستفاده از قراردادهای هوشمند، فیشینگ |
| ۲۰۲۳ | پل بلاک چینی هورایزن (Horizon Bridge) | ۱۰۰ میلیون دلار | فیشینگ، مهندسی اجتماعی |
| ۲۰۲۳ | کیف پول اتمیک (Atomic Wallet) | ۳۵ میلیون دلار | نشت کلید خصوصی، مهندسی اجتماعی |
| ۲۰۲۳ | کیف پول استیک (Stake) | ۴۱ میلیون دلار | فیشینگ، مهندسی اجتماعی، سوءاستفاده از API |
| ۲۰۲۴ | صرافی وزیرایکس (WazirX) | ۲۳۵ میلیون دلار | نفوذ به کیف پول چندامضایی، حمله به زنجیره تأمین، مهندسی اجتماعی |
| ۲۰۲۵ | صرافی بای‌بیت (Bybit) | ۱.۵ میلیارد دلار | فیشینگ هدفمند، سوءاستفاده از ضعف‌های امنیتی |
کیف پول گرم صرافی کره جنوبی آپ‌بیت (Upbit) در ۲۷ نوامبر ۲۰۱۹ (۶ آذر ۹۸) توسط گروه لازاروس هک و ۳۴۲ هزار واحد اتریوم از آن سرقت شد. قیمت اتریوم در آن زمان ۱۴۷ دلار و مبلغ کل سرقت، ۵۰ میلیون دلار بود.
در سال ۲۰۲۰، هکرهای لازاروس با دسترسی به کلید خصوصی کیف پول‌های گرم صرافی کوکوین (Kucoin)، حدود ۲۷۵ میلیون دلار سرقت کردند. به گفته مدیرعامل کوکوین، این صرافی ۲۰۴ میلیون دلار از وجوه سرقت‌شده را بازیابی کرده است. داستان این هک بزرگ را در کانال یوتیوب ارزدیجیتال ببینید:
در ۱۹ اوت ۲۰۲۱ (۲۸ مرداد ۱۴۰۰)، پلتفرم Liquid.com اعلام کرد که یک کاربر غیرمجاز به برخی از کیف پول‌های کریپتویی این صرافی دسترسی پیدا کرده است. در پی این دسترسی، ۶۷ توکن اتریومی به‌همراه مقادیری اتریوم و بیت کوین از این کیف پول‌ها خارج و به آدرس‌هایی تحت کنترل نهادی وابسته به کره شمالی، منتقل شدند.
این فرد با استفاده از میکسرها، چندین مرتبه ارزهای سرقتی را مخلوط و نهایتاً وجوه را به صرافی‌هایی در آسیا واریز کرد. در نتیجه این عملیات، مجموعاً حدود ۹۱.۳۵ میلیون دلار ارز دیجیتال از لیکوئید دات کام به سرقت رفت.
گروه هکری لازاروس در مارس ۲۰۲۲، رونین بریج (Ronin Bridge)، زنجیره جانبی بازی بلاک چینی اکسی اینفینیتی (Axie Infinity) را هک و ۶۰۰ میلیون دلار از آن سرقت کرد.
در زمان حمله، این گروه به پنج مورد از نه کلید خصوصی اعتبارسنج‌های تراکنش‌ها در پل رونین دسترسی پیدا کرد و با در اختیار داشتن اکثریت کلیدها، دو تراکنش برداشت شامل ۱۷۳,۶۰۰ اتر و ۲۵.۵ میلیون دلار یو‌اس‌دی‌سی را تأیید و پولشویی را با استفاده از بیش از ۱۲ هزار آدرس آغاز کرد.
در سال ۲۰۲۳ کیف پول اتمیک والت (Atomic Wallet) هک شد و ۳۵ میلیون دلار از دارایی‌های کاربران به سرقت رفت. هکرها برای مخفی کردن رد تراکنش‌ها از میکسر Sinbad.io که قبلاً توسط لازاروس گروپ استفاده شده بود، استفاده کردند. علاوه‌براین، آدرس‌های مرتبط با این حمله، با آدرس‌های شناخته‌شده از حملات قبلی لازاروس ارتباط داشتند.
یکی از بزرگترین و جدیدترین سرقت‌های تاریخ ارزهای دیجیتال، مربوط به صرافی بای‌بیت (Bybit) است. لازاروس گروپ با پیدا کردن یک نقص امنیتی گسترده، ۱.۵ میلیارد دلار اتر را در ۲۱ فوریه ۲۰۲۵ (۷ اسفند ۱۴۰۳) از این صرافی سرقت کرد.
حملات گروه لازاروس بسیار پیچیده و خطرناک هستند. برای درک بهتر این حملات و روش‌های مقابله با آن‌ها، باید با مهمترین تکنیک‌های هک مورد استفاده این گروه آشنا شویم. در ادامه، به بررسی این تکنیک‌ها خواهیم پرداخت. پس با ما همراه باشید تا از این تهدیدات سایبری آگاه شوید.
تأثیر فعالیت‌های گروه هکری لازاروس فراتر از خسارت‌های مالی یا نشت داده‌هاست. عملیات این گروه می‌تواند زیرساخت‌های حیاتی را مختل، اعتماد عمومی به سیستم‌های مالی را تضعیف و تنش‌های ژئوپولیتیکی را تشدید کند. در ادامه، به بررسی جزئی‌تر این موارد می‌پردازیم.
شرکت تحقیقاتی CyFirma گزارشی را در خصوص تاثیر گروه لازاروس در امنیت سایبری (Cybersecurity) شرکت‌ها و دولت‌ها در سال ۲۰۲۲ منتشر کرد. براساس این گزارش، ایالات متحده و ژاپن هدف عمده کمپین‌های این گروه بوده‌اند.
براساس تخمین‌ها، حملات این گروه تاکنون خسارت‌های زیادی را به شرکت‌ها و دولت‌ها وارد کرده است:
وزارت خزانه‌داری ایالات متحده، گروه هکری لازاروس را به‌دلیل نقش آن در حملات سایبری گسترده تحریم کرده است. در سال ۲۰۱۸ نیز دادگستری ایالات متحده یک برنامه‌نویس کره شمالی به نام پارک جین هیوک را به اتهام مشارکت در حملات سایبری متعدد، از جمله سرقت ۸۱ میلیون دلار از بانک بنگلادش، متهم کرد. بااین‌حال، به‌دلیل حمایت‌های دولت کره شمالی و پیچیدگی عملیات‌ها، مقابله با گروه لازاروس یک چالش برای کشورهاست.
یک گروه هکری مخوف و دولتی وابسته به کره شمالی است که از سال ۲۰۰۹ مسئول حملات سایبری گسترده در سطح جهانی بوده است.
چون از حملات سایبری برای سرقت میلیاردها دلار، اخلال در زیرساخت‌ها و جاسوسی نظامی-سیاسی استفاده می‌کند و پشتوانه دولتی دارد.
این گروه تحت نظر اداره کل شناسایی کره شمالی (RGB) و واحدی به نام اداره ۱۲۱ فعالیت می‌کند و مستقیماً برای تأمین مالی برنامه‌های تسلیحاتی رژیم استفاده می‌شود.
هک سونی پیکچرز، باج‌افزار WannaCry، سرقت ۸۱ میلیون دلاری از بانک بنگلادش و سرقت‌های میلیارد دلاری از صرافی‌های ارز دیجیتال مانند بای‌بیت از جمله معروف‌ترین حملات لازاروس هستند.
با فعال‌سازی احراز هویت دوعاملی، استفاده از کیف‌پول‌های سرد، دوری از لینک‌های مشکوک، نصب آنتی‌ویروس معتبر، و انتخاب صرافی‌های امن از جمله اقدامات مناسب هستند.
گروه هکری لازاروس (Lazarus Group) یکی از مخوف‌ترین هکرهای سایبری تحت حمایت کره شمالی است که از سال ۲۰۰۹ تاکنون با اجرای صدها حمله در حوزه‌های مالی، دولتی و زیرساختی، امنیت سایبری جهانی را به چالش کشیده است. این گروه با بهره‌گیری از بدافزارهای پیچیده، مهندسی اجتماعی، فیشینگ و نفوذ به پروتکل‌های حیاتی، حملاتی تا امروز میلیاردها دلار را به سرقت برده و خسارت‌های هنگفتی را به شرکت‌ها و دولت‌ها وارد کرده است.
