Sekoia e Kudelski Security hanno diviso l’ombrello Lazarus in sei cluster distinti. Il punto non è solo tassonomico: l’ecosistema nordcoreano appare organizzato per missioni diverse, con una struttura che separa spionaggio, furto finanziario e elusione delle sanzioni.
Nel report compaiono TEMP.Hermit, Citrine Sleet, CryptoCore, Jade Sleet, Moonstone Sleet e Famous Chollima. La lettura dei TTP mostra che lo stesso accesso e la stessa infrastruttura possono essere riusati tra attività diverse; Famous Chollima è legato a finti lavoratori IT che entrano in azienda con impieghi legittimi e poi ampliano la visibilità interna, mentre altri cluster si concentrano su crypto, Web3, ransomware e spionaggio.
Per attribuzione e risk scoring, il messaggio è che un singolo cluster non descrive più da solo il raggio d’azione del programma DPRK. Per chi usa contractor, sviluppatori remoti o consulenti con accesso ampio, il confine tra presenza lecita e abuso operativo resta il punto da leggere con più attenzione.