North Korean Hackers Evolve: Three New Threat Groups Emerge

One of the most prolific North Korea-linked cyber threat groups, Labyrinth Chollima, has recently evolved into three distinct hacking groups, according to cybersecurity giant CrowdStrike. In a new blog published on January 29, the firm announced that these groups will now be tracked as Labyrinth Chollima, Golden Chollima, and Pressure Chollima.

CrowdStrike assessed with high confidence that while Labyrinth Chollima continues to focus on cyber espionage targeting industrial, logistics, and defense companies, the other two groups have shifted towards targeting cryptocurrency entities. Each group uses distinct toolsets in their malware campaigns, all evolutions of the same malware framework used by Labyrinth Chollima in the 2000s and 2010s.

Despite operating independently, these three adversaries still share tools and infrastructure, indicating centralized coordination and resource allocation within the North Korean cyber ecosystem.

Labyrinth Chollima: One of Many Lazarus Aliases

Labyrinth Chollima (also known as UNC4034 and Temp.Hermit) is one of the most active cyber threat groups attributed to North Korea. CrowdStrike reports that the group is responsible for some of North Korea’s most notable intrusions, including destructive attacks against South Korean and US entities and the global WannaCry ransomware incident.

While some of Labyrinth Chollima's past operations have been attributed to the Lazarus Group, it seems that many cyber threat intelligence analysts have abandoned this name due to its broad application to distinct teams within North Korea's hacking ecosystem. The entry for the Lazarus Group on Malpedia lists 42 different aliases, highlighting how broadly the name has been applied.

Evolution of Labyrinth Chollima and Emergence of New Groups

CrowdStrike started tracking Labyrinth Chollima as a distinct cyber hacking group tied to North Korea when it discovered the KorDLL malware framework used in the wild between 2009 and 2015. This framework evolved into the Hawup and TwoPence malware frameworks, leading CrowdStrike to split Labyrinth Chollima into two groups: Labyrinth Chollima (using Hawup) and Stardust Chollima (using TwoPence).

Today, CrowdStrike shares a new evolution of the Hawup framework into three distinct versions:

  • Labyrinth Chollima: Uses the Hoplight framework for espionage against defense, manufacturing, and critical infrastructure.
  • Golden Chollima: Focuses on consistent, smaller-scale cryptocurrency thefts in fintech-heavy regions using cloud-focused tradecraft and recruitment fraud lures.
  • Pressure Chollima: Pursues high-value, opportunistic crypto heists globally with advanced, low-prevalence implants alongside the TwoPence framework.

Analisi Tecnica: Dettagli tecnici approfonditi

Il gruppo di minacce nordcoreano legato al cyber, Labyrinth Chollima, si è recentemente evoluto in tre distinte squadre di hacking, secondo quanto riportato da CrowdStrike. In un nuovo blog pubblicato il 29 gennaio, l'azienda di cybersecurity ha dichiarato che i tre gruppi saranno ora monitorati come Labyrinth Chollima, Golden Chollima e Pressure Chollima.

La società ha valutato con "alta fiducia" che mentre Labyrinth Chollima continua a concentrarsi sull'espionaggio informatico, prendendo di mira aziende industriali, logistiche e della difesa, gli altri gruppi hanno spostato la loro attenzione verso entità legate alle criptovalute.

Ciascun gruppo utilizza strumenti distintivi nelle loro campagne di malware, secondo CrowdStrike. Tutti questi strumenti sono evoluzioni dello stesso framework malware utilizzato da Labyrinth Chollima negli anni 2000 e 2010.

Tuttavia, gli analisti di threat intelligence di CrowdStrike hanno dichiarato che nonostante ora operino in modo indipendente, questi tre avversari condividono ancora strumenti e infrastrutture, indicando una coordinazione centralizzata e l'allocazione delle risorse all'interno dell'ecosistema cyber nordcoreano.

Labyrinth Chollima: uno dei molti alias di Lazarus

Labyrinth Chollima (anche noto come UNC4034 e Temp.Hermit) è uno dei gruppi di minacce più attivi attribuiti alla Corea del Nord.

Secondo CrowdStrike, il gruppo è responsabile di alcune delle intrusioni più note della Corea del Nord, tra cui gli attacchi distruttivi contro entità sudcoreane e statunitensi e l'incidente globale di WannaCry ransomware.

Mentre alcune delle operazioni passate del gruppo sono state attribuite al gruppo Lazarus, sembra che la maggior parte degli analisti di threat intelligence abbia abbandonato questo nome in quanto comprende troppe squadre distinte all'interno dell'ecosistema di hacking nordcoreano attribuito.

Ad esempio, l'entry per il gruppo Lazarus su Malpedia, un repository di threat intelligence mantenuto dall'istituto di ricerca tedesco Fraunhofer, elenca 42 diversi alias, evidenziando quanto ampiamente questo nome sia stato applicato a squadre nordcoreane distinte.

Le origini di Labyrinth Chollima e l'emergere di Stardust Chollima

CrowdStrike ha iniziato a monitorare il gruppo Labyrinth Chollima come un gruppo di hacking cyber distintivo legato al regime nordcoreano quando ha scoperto il framework malware KorDLL utilizzato nel mondo reale tra il 2009 e il 2015.

KorDLL è un repository di codice sorgente contenente modelli di impianto, protocolli di controllo e comando (C2), librerie per compiti comuni e codice per diverse tecniche di occultamento.

Questo framework ha dato origine a diverse famiglie malware epocali, tra cui Dozer, Brambul, Joanap, KorDLL Bot e Koredos," ha dichiarato CrowdStrike.

In seguito, si è evoluto nei framework Hawup e TwoPence, che hanno portato CrowdStrike a suddividere Labyrinth Chollima in due gruppi: Labyrinth Chollima, che utilizzava il framework Hawup, e Stardust Chollima, che utilizzava il framework TwoPence e le sue versioni evolute.

Labyrinth Chollima, Golden Chollima e Pressure Chollima

Oggi, CrowdStrike sta condividendo una nuova evoluzione del framework Hawup in tre versioni distinte. Queste includono il framework Hoplight utilizzato da Labyrinth Chollima, il framework Jeus utilizzato da Golden Chollima e il framework MataNet utilizzato da Pressure Chollima insieme al framework TwoPence.

Oltre all'utilizzo di strumentazione distintiva, i tre gruppi differiscono anche nei loro obiettivi e tecniche, tattiche e procedure (TTPs):

  • Golden Chollima si concentra su furti di criptovalute a piccola scala in regioni con un alto numero di fintech utilizzando tradecraft basati sul cloud e esche di frode nel recruiting;
  • Pressure Chollima cerca furti di criptovalute ad alto valore a livello globale con impianti a bassa prevalenza avanzati;
  • Labyrinth Chollima conduce attività di spionaggio contro difesa, manifattura e infrastrutture critiche.

Contesto: DI MERCATO/SICUREZZA: Dati, trend correlati, impatto sul settore.

Uno dei gruppi di minacce nordcoreani più prolifici, Labyrinth Chollima, si è recentemente evoluto in tre distincti gruppi di hacking, secondo CrowdStrike. In un nuovo blog pubblicato il 29 gennaio, l'azienda di cybersecurity ha dichiarato che i tre gruppi saranno ora tracciati come Labyrinth Chollima, Golden Chollima e Pressure Chollima.

La società ha valutato "con alta certezza" che mentre Labyrinth Chollima continua a concentrarsi sull'espionaggio informatico, prendendo di mira aziende industriali, logistiche e della difesa, gli altri gruppi hanno spostato la loro attenzione verso entità di criptovaluta.

Ciascun gruppo utilizza distinte strumentazioni nelle campagne di malware, secondo CrowdStrike. Tali strumentazioni sono tutte evoluzioni dello stesso framework di malware utilizzato da Labyrinth Chollima nel 2000 e nel 2010.

Tuttavia, gli analisti di threat intelligence di CrowdStrike hanno dichiarato che nonostante ora operino in modo indipendente, questi tre avversari condividono ancora strumenti e infrastrutture, indicando una coordinazione centralizzata e l'allocazione delle risorse all'interno dell'ecosistema cyber nordcoreano.

Labyrinth Chollima, uno dei molti alias di Lazarus

Labyrinth Chollima (noto anche come UNC4034 e Temp.Hermit) è uno dei gruppi di minacce più attivi attribuiti alla Corea del Nord.

Secondo CrowdStrike, il gruppo è responsabile di alcune delle intrusioni più note della Corea del Nord, tra cui attacchi distruttivi contro entità sudcoreane e statunitensi e l'incidente globale di WannaCry ransomware.

Mentre alcune delle operazioni passate del gruppo sono state attribuite al gruppo Lazarus, sembra che la maggior parte degli analisti di intelligence sulla minaccia abbia abbandonato questo nome in quanto comprende troppe squadre distinte all'interno dell'ecosistema di hacking nordcoreano attribuito.

Ad esempio, l'entry per il gruppo Lazarus su Malpedia, un repository di intelligence sulla minaccia mantenuto dall'istituto di ricerca tedesco Fraunhofer, elenca 42 diversi alias, evidenziando quanto ampiamente il nome sia stato applicato a squadre di hacking nordcoreane distinte.

Le origini e l'emergere di Stardust Chollima di Labyrinth

CrowdStrike ha iniziato a tracciare il gruppo Labyrinth Chollima come un distinctivo gruppo di hacker legato al regime nordcoreano quando ha scoperto il framework di malware KorDLL utilizzato nel

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

In seguito alla recente evoluzione del gruppo nord-coreano di minacce informatiche Labyrinth Chollima in tre distinte squadre di hacking, è importante che gli utenti e gli investitori adottino alcune strategie di difesa. Ecco alcuni consigli pratici:

  • Mantenere il software aggiornato: Assicurarsi di avere sempre l'ultima versione dei sistemi operativi e dei software installati sul proprio computer. Questo aiuterà a proteggere contro le vulnerabilità note.
  • Usare una solida autenticazione a più fattori: L'autenticazione a più fattori aggiunge un ulteriore livello di sicurezza alle credenziali di accesso. Utilizzare password complesse e, se possibile, l'autenticazione biometrica.
  • Fare attenzione agli allegati sospetti e ai link: Gli hacker spesso utilizzano email di phishing per introdurre malware nei sistemi. Prestare attenzione agli allegati sospetti e non cliccare su link dubbi.
  • Utilizzare un software di sicurezza affidabile: Installare un software di sicurezza reputato e mantenerlo aggiornato. Questo aiuterà a rilevare e bloccare eventuali minacce.
  • Educazione sulla sicurezza informatica: Imparare a riconoscere le tecniche comuni utilizzate dagli hacker, come il phishing e l'inganno sociale, può aiutare a prevenire gli attacchi.

Ricorda che la difesa contro le minacce informatiche richiede un approccio olistico. È importante essere vigili e adottare misure di sicurezza appropriate per proteggere i propri dati e investimenti.

Conclusioni: Previsioni future basate sui fatti

La recente evoluzione dei gruppi di minacce legati alla Corea del Nord, come Labyrinth Chollima, in tre distinte squadre di hacking, indica un possibile aumento della sofisticazione e dell'efficacia delle loro operazioni. CrowdStrike ha rilevato che i nuovi gruppi, Golden Chollima e Pressure Chollima, si concentrano su obiettivi legati alle criptovalute, mentre Labyrinth Chollima continua a focalizzarsi sull'espionaggio industriale.

Questo cambiamento potrebbe essere un'indicazione di una maggiore diversificazione delle attività dei gruppi di hacking nordcoreani, con conseguenze potenzialmente più ampie e dannose per i settori coinvolti. Inoltre, la condivisione di strumenti e infrastrutture tra i gruppi suggerisce una coordinazione centralizzata all'interno dell'ecosistema cyber della Corea del Nord.

Inoltre, il fatto che Labyrinth Chollima sia stato coinvolto in operazioni di alto profilo come l'incidente WannaCry e attacchi distruttivi contro entità sudcoreane e statunitensi, indica che i gruppi nordcoreani potrebbero essere responsabili di future minacce di vasta portata.

è probabile che vedremo un aumento della sofisticazione e dell'efficacia degli attacchi da parte dei gruppi legati alla Corea del Nord, con una maggiore diversificazione dei loro obiettivi. Gli operatori di sicurezza informatica devono essere preparati a far fronte a queste minacce in evoluzione.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l'uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.