Il toolset di Lazarus finisce nelle mani del ransomware
Il punto non è più solo Lazarus. Lo stesso stack tecnico e la stessa infrastruttura ora sembrano circolare verso operatori criminali, e il varco resta dentro software bancario coreano che utenti e organizzazioni sono di fatto costretti a usare. Così una catena di fiducia pensata per servizi bancari e pubblici diventa un canale comune per spionaggio ed estorsione.
Le autorità sudcoreane e AhnLab descrivono campagne parallele di Lazarus e Gunra contro bersagli coreani dal 2025 alla prima metà di quest’anno. I due fronti hanno sfruttato le stesse vulnerabilità nei security plug-in finanziari coreani, gli stessi server di command-and-control, le stesse impronte SSH e persino gli stessi resti operativi, mentre Lazarus ha piazzato backdoor in almeno 72 organizzazioni nel solo 2026.
Per banche, servizi pubblici e team che seguono l’infrastruttura legata a Lazarus, il segnale è che un singolo indicatore non basta più a separare spionaggio e ransomware. Se il punto di ingresso è un componente fiduciario obbligatorio, il riuso tecnico può allargare il raggio d’azione oltre il nome dell’attaccante che lo ha inizialmente usato.