LAZARUS

Diğer Adlar:

·       ATK3

·       BUREAU 121

·       HIDDEN COBRA

Hedef Aldıkları Sektörler: Finansal Servisler, Havacılık, Devlet Kurumları, Basın, Askeri

Motivasyonlar ve Hedefler:

·       Stratejik Destek

Lazarus tek bir tehdit grubu değildir. Keşif Genel Bürosu(Reconnaissance General Bureau)  ile bağlantılı sekiz Bürodan biri olan 121 Bürosunu(Bureau 121) temsil eder. Büro 121, siber operasyonlarla görevli birincil ofistir. Eylül 2016'da yeniden düzenlenmiş ve şu anda şunlardan oluşmaktadır:

Ø  Lab110: Reconnaissance General Bureau(RGB)'nin altındaki anahtar siber birimdir; istihbarat operasyonlarını yürütmek için siber saldırı tekniklerini uygular.

o   Office 98: Kuzey Koreli sığınmacılar, onları destekleyen kuruluşlar, Kuzey Kore ile ilgili denizaşırı araştırma enstitüleri ve Güney Kore'deki üniversite profesörleri hakkında bilgi toplar.

o   Office 414: Denizaşırı devlet kurumları, kamu kurumları ve özel şirketler hakkında bilgi toplar.

o   Office 35: Kötü amaçlı yazılım geliştirmeye, güvenlik açıklarını araştırmaya ve analiz etmeye, açıklardan yararlanmaya ve hacking araçlarına odaklanır.

Ø  Unit180: Birim, Kuzey Kore dışından yabancı para çalmak için siber operasyonlar yürütme konusunda uzmanlaşmıştır.

Ø  Unit 91: İzole ağları hedefleyen siber saldırı görevlerine, özellikle de Güney Kore’nin Milli Savunma Bakanlığı gibi kritik ulusal altyapılarına odaklanır. Kitle imha silahları geliştirmek için gizli bilgi ve teknolojiyi çalmaya odaklanır.

Ø  128 ve 413 Liaison Office: Yabancı istihbarat web sitelerini hacklemekten ve siber uzmanları eğitmekten sorumludur.

Büro 121 üç ana tür operasyon gerçekleştirir:

·       Siber Espiyonaj (Siber Casusluk): Lazarus Birimleri, Kimsuki kampanyası ve KHNP Operasyonu gibi çok sayıda siber casusluk operasyonu yürüttü. Bu casusluk operasyonlarının, Kuzey Koreli muhaliflerin takibi, kitle imha silahlarının veya siyasi casusluğun geliştirilmesine yardımcı olan fikri mülklerin toplanması gibi farklı amaçları vardır.

·       Siber Terörizm: 2013'te Kuzey Kore, Güney Kore medyasına ve finans şirketlerine (DarkSeoul Operasyonu) yönelik yıkıcı saldırılar gerçekleştirdi ve Kasım 2014'te Sony'nin "The Interview" filmine yönelik hack bağlantısından sorumluydu. Bu saldırılar, Bureau 121'in 2016'da yeniden organize edilmesinden önce gerçekleşmiş olup, şu anda hangi Birim'in yıkıcı operasyonlardan sorumlu olduğunu söyleyemiyoruz.

·       Para Hırsızlığı: Bureau 121'in misyonu, bu siber faaliyetleri finanse etmek için likidite toplamaktır. 91.000 $ toplayan kötü şöhretli WannaCry gibi fidye yazılımı yayarak veya banka soygunu yoluyla yapılır. Siber banka soygunu, SWIFT kimlik bilgilerini çalmak ve bu kimlik bilgilerini saldırgan tarafından kontrol edilen bir hesaba işlem başlatmak için kullanmak üzere bankacılık ağına sızarak yapılır. Bunlardan en bilineni, Şubat 2016'da 81 milyon dolarlık hırsızlığa izin veren Bangladeş Merkez Bankası Soygunu. Bu faaliyet, Kuzey Koreli tehdit grubu APT38, yani Stardust Chollima veya BlueNoroff ile benzer hedeflere sahip olan Birim 180 tarafından yürütülmüştür.

 

Büro 121, Genelkurmay Başkanlığı'nın diğer Birimleri tarafından desteklenmektedir:

·       Operation Bureau: Siber stratejileri tanımlamak ve operasyonları planlamak için kullanılır.

·       Command Automation Bureau, üç birimden oluşur:

1. Unit 31: Zararlı yazılım geliştirmeden sorumludur.

2. Unit 32: Askeri yazılım geliştirmeden sorumludur.

3. Unit 56: Komuta ve kontrol yazılımı geliştirmeden sorumludur.

Ø  Enemy Collapse Sabotage Bureau: Bilgi ve psikolojik savaşla görevlidir.

 

Bir siber operasyon, bu farklı ekiplerin etkileşimini içerir. Örneğin, Operation Bureau bir hedef tanımlar, Office 35 kullanılabilir bir istismar bulur, Unit 31, etkili bir hedef avı dokümanı oluşturmak için Enemy Collapse Sabotage Bureau yardımıyla arka kapıyı ve cazibeli belgeleri geliştirir. Unit 56, C2 yazılımını geliştirir ve amaca ulaşmak için Lab 110, Unit 180 veya Unit 91 tarafından kullanılacak bir C2 altyapısını korur.