Die Lazarus Group ist eine Gruppe von Angreifern, die die Regierungen der USA und Großbritanniens dem Staat Nordkorea zuordnen. Ihr werden der Angriff auf Sony Pictures 2014 und die Erpressungswelle WannaCry 2017 zugeschrieben; das FBI macht Nordkorea außerdem für Diebstähle von Kryptowährung in Milliardenhöhe verantwortlich.
- Lazarus Group
Eine Gruppe von Angreifern, die westliche Regierungen dem nordkoreanischen Staat zuordnen.
Beispiel: „Die Börse führte den Abfluss der Coins auf die Lazarus Group zurück.“Bei Microsoft heißt die Gruppe Diamond Sleet; das Wort Sleet steht in Microsofts Schema für Nordkorea.
Abgrenzung zu Erpressergruppen wie REvil: Die arbeiten auf eigene Rechnung. Die Lazarus Group handelt nach Einschätzung der US-Regierung im Auftrag eines Staates.
Was der Lazarus Group zugeordnet wird
Am 13. September 2019 belegte das US-Finanzministerium die Lazarus Group und zwei verwandte Gruppen mit Sanktionen und erklärte, sie würden vom Aufklärungshauptbüro Nordkoreas gesteuert. Die Lazarus Group sei unmittelbar für die Angriffe auf Sony Pictures Entertainment 2014 verantwortlich gewesen.
Für WannaCry, das am 12. Mai 2017 losbrach, hatte die britische Regierung schon am 19. Dezember 2017 Stellung bezogen: Das National Cyber Security Centre halte es für hoch wahrscheinlich, dass die Lazarus Group dahinterstehe. Das US-Finanzministerium beziffert die Folgen auf mindestens 150 Länder und rund 300.000 Rechner; in England waren nach dem National Audit Office mindestens 81 von 236 Krankenhausträgern betroffen.
Die Lazarus Group und Kryptowährung
Am 26. Februar 2025 erklärte das FBI, Nordkorea sei für den Diebstahl von rund 1,5 Milliarden US-Dollar in digitalen Werten bei der Börse Bybit am 21. Februar 2025 verantwortlich. Das FBI nennt die Aktivität TraderTraitor; in der Berichterstattung läuft der Fall meist unter Lazarus.
Wie die nordkoreanischen Untergruppen zusammenhängen, lässt sich von außen nicht klären, und die Namen der Sicherheitsfirmen decken sich nur teilweise. Belastbar ist die Zuordnung an den Staat, weniger die an eine bestimmte Gruppe. Die Beute bewegt sich auf einer Blockchain, deren Buchungen öffentlich einsehbar sind; verfolgen lässt sie sich deshalb, zurückholen selten.
Was WannaCry über die Lazarus Group hinaus lehrt
WannaCry verbreitete sich über eine Lücke im Windows-Dienst SMB, für die Microsoft schon am 14. März 2017 ein Update veröffentlicht hatte. Getroffen wurden Rechner, auf denen es fehlte. Der Angriffsweg stammte aus den Veröffentlichungen der Shadow Brokers.
Daraus folgt die Lehre, die für staatliche wie kriminelle Angreifer gilt: Zwei Monate zwischen Update und Angriff sind viel Zeit, wenn es einen festen Ablauf gibt, siehe Patch-Management.