Minacce · 61 giorni fa
Il punto non è più solo Lazarus. Lo stesso stack tecnico e la stessa infrastruttura ora sembrano circolare verso operatori criminali, e il varco resta dentro software bancario coreano che utenti e organizzazioni sono di fatto costretti a usare. Così una catena di fiducia pensata per servizi bancari e pubblici diventa un canale comune per spionaggio ed estorsione.
Le autorità sudcoreane e AhnLab descrivono campagne parallele di Lazarus e Gunra contro bersagli coreani dal 2025 alla prima metà di quest’anno. I due fronti hanno sfruttato le stesse vulnerabilità nei security plug-in finanziari coreani, gli stessi server di command-and-control, le stesse impronte SSH e persino gli stessi resti operativi, mentre Lazarus ha piazzato backdoor in almeno 72 organizzazioni nel solo 2026.
Per banche, servizi pubblici e team che seguono l’infrastruttura legata a Lazarus, il segnale è che un singolo indicatore non basta più a separare spionaggio e ransomware. Se il punto di ingresso è un componente fiduciario obbligatorio, il riuso tecnico può allargare il raggio d’azione oltre il nome dell’attaccante che lo ha inizialmente usato.
2 fonti che coprono questa storia
The Record from Recorded Future
North Korea’s Lazarus Group sharing tools with ransomware hackers, South Korean agencies warn
Cyberattack tools and infrastructure used by North Korea’s Lazarus Group appear to have been shared with ransomware criminals targeting South Korean organizations — further evidence of deepening entanglement between Pyongyang-backed hackers and the ransomware ecosystem.
North Korea's elite hackers turned on their own government — and got caught
For years, North Korea's state-trained hackers have been one of the world's most prolific robbers of banks - stealing huge sums of money from foreign financial instituions, draining cryptocurrency exchanges of billions, and funnelling the proceeds into the country's weapons programme.
Part of the PlainSec briefing for 2026-07-30