Südkoreanische Behörden warnen vor technischer Verbindung zwischen Lazarus und Gunra-Ransomware

AhnLab beschreibt zwei parallel laufende Angriffskampagnen gegen südkoreanische Ziele, die sich nach Darstellung des Unternehmens vor allem im Endziel unterschieden. Lazarus habe Spionage-Backdoors installiert, Gunra dagegen Ransomware eingesetzt. Zu den von Lazarus betroffenen Einrichtungen zählten laut Bericht Regierungsbehörden, Kryptobörsen und IT-Dienstleister.

Nach Angaben von AhnLab nutzten beide Gruppen identische Malware-Dateinamen und dieselben Ausführungsargumente. Hinzu kamen die gleichen Werkzeuge zur Rechteausweitung, dieselben Command-and-Control-Server und derselbe SSH-Schlüsselfingerabdruck als kryptografischer Identifikator. Selbst das Löschen der Schadsoftware sei gleich abgelaufen: Dateien seien zunächst in zufällige vierstellige Zeichenfolgen umbenannt und anschließend entfernt worden.

AhnLab benennt die Aktivität als „Operation Double Barrel“, vermeidet aber eine abschließende Zuschreibung an einen einzelnen Akteur. Die Überschneidungen könnten laut Bericht auf Zusammenarbeit, gemeinsam genutzte Infrastruktur oder die Vermittlung von Zugängen hindeuten. Das Unternehmen stuft die Fälle als Vorgänge mit „hoher Wahrscheinlichkeit einer technischen Verbindung“ ein, die weiter untersucht werden müssten.

Im Verlauf der Kampagne kompromittierten die Angreifer laut AhnLab 15 legitime koreanische Websites aus mehreren Branchen und missbrauchten sie für Watering-Hole-Angriffe. Ausgewählte Besucher dieser Seiten seien auf eine bestimmte Infrastruktur umgeleitet worden, die die Software-Schwachstellen auslöste und Schadcode in legitime Microsoft-Prozesse einschleuste. Die gemeinsame Warnung der vier südkoreanischen Behörden weist deshalb darauf hin, dass bereits der Besuch einer kompromittierten legitimen Website zur Infektion führen könne, insbesondere wenn veraltete Sicherheitssoftware installiert sei.

Zusätzlich setzten die Angreifer Spearphishing ein. Ein Beispiel war laut AhnLab eine Kampagne gegen ein koreanisches Rüstungsunternehmen mit E-Mails, die als Umfrage zu GaN-Halbleitern getarnt waren. Das Unternehmen erklärte außerdem, die Angreifer hätten bei einigen ihrer Köderseiten offenbar Künstliche Intelligenz eingesetzt.

Der Bericht nennt mehrere für die Watering-Hole-Angriffe verwendete Websites, die von derselben koreanischen Webentwicklungsfirma betreut wurden. AhnLab geht davon aus, dass die Angreifer zunächst den Hosting-Anbieter kompromittierten und ihren Zugriff anschließend über das Verwaltungssystem des Entwicklungsunternehmens auf Kundenseiten ausweiteten, anstatt jede Seite einzeln anzugreifen.

Die Erkenntnisse fügen sich nach Darstellung des Quelltexts in weitere Hinweise ein, dass von Pjöngjang unterstützte Akteure enger mit dem Ransomware-Ökosystem verflochten sind. Forscher von Palo Alto Networks, Microsoft und Symantec hatten in den vergangenen 18 Monaten verschiedene nordkoreanische staatlich unterstützte Akteure mit den Ransomware-Operationen Play, Qilin und Medusa in Verbindung gebracht. 2024 machte zudem eine Anklage des US-Justizministeriums gegen das mutmaßliche Andariel-Mitglied Rim Jong Hyok auf den Einsatz von Ransomware in Angriffen auf US-Krankenhäuser und Gesundheitsunternehmen aufmerksam.

Im Fall Gunra könnte die Richtung der Verbindung laut Quelltext jedoch umgekehrt sein. Während nordkoreanische Akteure in früheren Fällen als Partner etablierter krimineller Ransomware-Programme auftraten, deuten die nun vorliegenden Hinweise eher darauf hin, dass staatliche Hacker Werkzeuge, Exploits und Zugänge an eine kleinere und neuere Gruppe weitergegeben haben könnten.

Gunra tauchte im April 2025 auf und griff zunächst fünf südkoreanische Unternehmen an. Die Gruppe baute ihre Ransomware zunächst auf durchgesickertem Conti-v2-Quellcode auf und wechselte im Januar dieses Jahres zu einem Ransomware-as-a-Service-Modell. Bis März 2026 reklamierte Gunra nach Angaben des Berichts weltweit mindestens 32 Opfer in den Bereichen Gesundheitswesen, Fertigung, IT und weiteren Sektoren. Wie bei vielen RaaS-Modellen üblich, arbeitet die Gruppe mit doppelter Erpressung: erst Datendiebstahl, dann Verschlüsselung und die Drohung, Daten auf einer Leak-Site im Tor-Netzwerk zu veröffentlichen.

AhnLab betont, dass das Risiko über die direkt angegriffenen Organisationen hinausgehe. Die missbrauchten koreanischen Finanz-Sicherheitsprogramme kämen nicht nur in vielen Unternehmensumgebungen, sondern auch auf zahlreichen privaten PCs zum Einsatz. Weil sich die Schwachstellen bereits beim Aufruf einer bestimmten Seite auslösen ließen, könnten laut AhnLab auch allgemeine Nutzerumgebungen mit verwundbarer Software gefährdet sein.