# Lazarus Group > [!danger] Ameaça Patrocinada por Estado — Coreia do Norte > **Lazarus Group** (MITRE G0032) é o principal ator de ameaça ligado à Coreia do Norte, operando desde 2009 com alvos financeiros, governamentais e de defesa no mundo inteiro. Responsável por ataques de bilhões de dólares em criptoativos e infraestrutura crítica. ## Visão Geral O Lazarus Group é um dos grupos de ameaça persistente avançada (APT) mais prolíficos e perigosos do mundo, atribuído pela comunidade de inteligência à Coreia do Norte e supostamente supervisionado pelo Reconnaissance General Bureau (RGB). Ativo desde pelo menos 2009, o grupo combina motivações de espionagem, sabotagem e geração de receita para o regime norte-coreano — um perfil único entre APTs estatais. O grupo ficou internacionalmente conhecido pelo ataque ao Sony Pictures Entertainment em 2014, seguido pelo wiper NotPetya e pelo ataque ao Bangladesh Bank em 2016, no qual desviou quase US$81 milhões via SWIFT. A partir de 2018, o Lazarus redirecionou foco significativo para exchanges de criptomoedas e projetos DeFi, acumulando mais de US$3 bilhões em ativos digitais roubados entre 2017 e 2023 segundo estimativas do FBI. Para o Brasil e a América Latina, o Lazarus representa risco elevado ao setor financeiro e a empresas de criptoativos. A operação **Operation DreamJob** (desde 2019) tem como vetor principal a engenharia social via LinkedIn, com falsas ofertas de emprego direcionadas a engenheiros de software e profissionais de finanças — perfil presente em fintech brasileiras de alto crescimento. ## Attack Flow ```mermaid flowchart LR A[Reconhecimento\nLinkedIn / OSINT] --> B[Acesso Inicial\nSpear Phishing\nFalsa Oferta de Emprego] B --> C[Execução\nBeaverTail / InletHook\nVia npm malicioso] C --> D[Persistência\nBackdoor customizado] D --> E[Exfiltração\nCredenciais / Chaves Cripto] E --> F[Impacto\nRoubo de Criptoativos\nWiper / Ransomware] ``` ## TTPs Principais | Técnica | ID | Descrição | |---------|-----|-----------| | Spear Phishing | [[t1566-phishing\|T1566]] | Falsas ofertas de emprego via LinkedIn e email | | Execução via Script | [[t1059-command-and-scripting-interpreter\|T1059]] | Python, JavaScript, PowerShell | | Contas Válidas | [[t1078-valid-accounts\|T1078]] | Uso de credenciais roubadas | | Criptografia de Dados | [[t1486-data-encrypted-for-impact\|T1486]] | Ransomware e wipers em campanhas de sabotagem | | Transferência de Ferramentas | [[t1105-ingress-tool-transfer\|T1105]] | Deploy de malware via pacotes npm maliciosos | ## Subgrupos Conhecidos O Lazarus Group opera por meio de subgrupos especializados identificados pela comunidade de inteligência: - **APT38 / BlueNoroff** — Foco exclusivo em crimes financeiros, SWIFT, bancos e criptoativos - **Andariel** — Operações de espionagem e ataques a contratados de defesa sul-coreanos - **Kimsuky** — Inteligência e espionagem política, think tanks, jornalistas ## Detecção e Defesa Para organizações financeiras e de criptoativos no Brasil: - Monitorar pacotes npm/PyPI com nomes suspeitos ou typosquatting antes de instalação - Revisar solicitações de conexão no LinkedIn de perfis com histórico limitado - Implementar MFA em todas as contas com acesso a sistemas financeiros e wallets - Aplicar [[m1049-antivirus-antimalware|M1049]] e detecção comportamental de processos anômalos - Consultar [[ds0009-process|DS0009]] para monitoring de execução de processos suspeitos ## Referências - MITRE ATT&CK: [Lazarus Group G0032](https://attack.mitre.org/groups/G0032/) - FBI: North Korea Cyber Actors Stealing Cryptocurrency (2023) - Mandiant: UNC4736 — Lazarus AppleJeus Campaign (2023) - Microsoft MSTIC: ZINC weaponizing open-source software (2022) - Kaspersky: Operation DreamJob targeting defense contractors (2021)