lazarus

ChainCatcher 消息，据 Cryptopolitan 報導，網絡安全分析師發現了一種名為 RemotePE 的新型無文件遠程訪問木馬 (RAT)。据信與朝鮮有關聯的網絡犯罪組織 Lazarus Group 正在利用該木馬攻擊銀行和加密貨幣公司。該木馬完全在內存中運行，傳統殺毒和取證工具難以檢測。攻擊者通過 Telegram 冒充交易公司員工，使用偽造的 Calendly 和 Picktime 鏈接進行社交工程攻擊。惡意軟件通過 DPAPILoader、RemotePELoader 和 RemotePE 三個階段鏈式加載，整個過程不接觸文件系統，利用進程挖空、反分析檢查和加密 C2 通信規避檢測。該惡意軟件於 2025 年 9 月首次被發現。2026 年前四個月，Lazarus 組織已竊取約 5.77 億美元加密資產，占全球加密盜竊總額的 76%。自 2017 年以來，該組織累計竊取金額已達 60 億美元。

ChainCatcher 消息，据 OpenSourceMalware 研究，朝鮮黑客組織 Lazarus 在 "傳染性面試" 和 "TaskJacker" 等針對開發者的惡意活動中採用了新手法，將第二階段加載器隱藏在 Git Hooks 的 pre-commit 腳本中。"傳染性面試" 是該組織通過偽造加密貨幣/DeFi 領域招聘流程，誘使開發者克隆惡意代碼倉庫的系列攻擊活動，最終竊取加密資產和憑證。研究員建議，被要求克隆代碼倉庫作為面試流程一部分的開發者，應警惕此類風險，最好在隔離環境中運行，避免掛載個人瀏覽器配置、SSH 密鑰和加密錢包。

ChainCatcher 消息，据 CoinDesk 報導，據 CertiK 監測，Lazarus 集團正在針對金融科技及加密貨幣行業高管開展名為 Mach-O Man 的攻擊行動。該操作利用 ClickFix 社交工程技術，通過發送虛假在線會議邀請，誘導受害者在 Mac 終端粘貼修復指令，從而獲取公司及財務系統訪問權限。CertiK 研究員 Natalie Newson 表示，Lazarus Group 過去兩周通過 Drift 和 KelpDAO 攻擊已竊取超 5 億美元。Mach-O Man 是由 Lazarus Group 下屬 Chollima 部門開發的模組化 macOS 惡意軟體工具包，能夠在使用後自動刪除以規避檢測。此外，已有攻擊者通過劫持 DeFi 項目域名並替換為虛假 Cloudflare 消息的方式實施該攻擊。

ChainCatcher 消息，AhnLab 發布的《2025 網絡威脅趨勢與 2026 安全展望》報告顯示，朝鮮背景黑客組織 Lazarus 在過去 12 個月被點名次數最多，其主要利用"魚叉式（定向）釣魚"實施攻擊，常偽裝成講座邀請、面試請求等郵件誘導目標開載。報告稱，Lazarus 被認為是多起重大攻擊的主要嫌疑人，包括今年 2 月 21 日的 Bybit 遭黑事件（損失 14 億美元）以及近期韓國交易所 Upbit 遭遇的 3000 萬美元漏洞攻擊。AhnLab 表示，為提高安全性，企業需建立多層防護體系，包括定期安全審計、及時更新補丁及加強員工教育。該公司並建議個人用戶使用多因子認證、謹慎處理未知鏈接與附件、避免過度暴露個人信息，同時僅從官方渠道下載內容。AhnLab 指出，隨著 AI 應用的普及，攻擊者將更易生成難以分辨的釣魚郵件、偽裝頁面與深度偽造內容，未來相關威脅可能進一步複雜化。（Cointelegraph）

ChainCatcher 消息，針對 Upbit 遭遇約 445 億韓元（約 3600 萬美元）加密資產被盜一事，CryptoQuant CEO Ki Young Ju 今日發文指出，Upbit 所披露的攻擊方式"幾乎不可能由普通黑客完成"。Upbit 此前表示，攻擊者可能透過分析用戶錢包地址模式來"推斷私鑰"。Ki Young Ju 直言，這類攻擊技術難度極高，若情況屬實，"我懷疑除了朝鮮 Lazarus，沒有任何黑客組織能做到這一點"。

ChainCatcher 消息，据韓聯社報導，韓國虛擬資產交易所 Upbit 遭遇黑客攻擊，價值 445 億韓元的虛擬資產被盜。目前，朝鮮偵察總局旗下的黑客組織 Lazarus Group 被高度懷疑是此次事件的幕後黑手。當地時間，韓聯社從信息通信技術（ICT）行業及韓國政府相關部門獲悉，鑑於朝鮮偵察總局下屬黑客組織 Lazarus Group 有較大作案嫌疑，當局正在對 Upbit 開展現場檢查工作。該黑客組織曾被指參與 2019 年 Upbit 價值 580 億韓元以太坊的盜竊案。政府相關人士稱："此次攻擊不太可能是針對伺服器的，更有可能的情況是竊取了管理員帳戶，或者偽裝成管理員進行資金轉帳。"他還表示："就目前掌握的情況來看，6 年前黑客就是採用這種方式實施攻擊的，所以推測此次也是同樣的作案方式。"

ChainCatcher 消息，EurekaTrading 創始人 Kuan Sun 發推回顧其因釣魚攻擊險些丟失 1,300 萬美元：2025 年 9 月 2 日，其錢包中約 1,300 萬美元資產險些被 Lazarus 黑客組織盜走，安全團隊緊急出手，最終追回資金。起因是一場看似正常的 Zoom 會議邀請，實際上為精心佈置的釣魚陷阱。黑客利用"半熟人"關係、deepfake 視頻及偽造 Rabby 插件，針對受害者 Venus 倉位量身定制攻擊。在誤信假插件操作下執行 withdraw，資產面臨被連帶負債轉走的風險。PeckShield、SlowMist、Venus 及多支安全團隊迅速響應，暫停協議並排查風險，最終阻止了資金被盜。硬體錢包並非萬能，插件和前端被劫持仍有風險；Zoom 連結、升級彈窗、半熟人關係均可能成為攻擊入口。

ChainCatcher 消息，据 The Telegraph 報導，英國註冊加密貨幣平台 Lykke 因被駭客盜取約 1700 萬英鎊（約2280萬美元）比特幣及以太坊，被迫停運並於今年 3 月清算。英國財政部下屬 OFSI 報告稱，駭客來自朝鮮 Lazarus 組織，資金被用於軍事和核項目。Lykke 創始人 Richard Olsen 已被宣布破產，案件仍在調查中。

ChainCatcher 消息，据鏈上偵探 ZachXBT 監測，某用戶疑似於 5 月 16 日遭朝鮮黑客組織 Lazarus Group 攻擊，損失約 320 萬美元資產。被盜資產在市場出售，盜取的資金隨後從 Solana 跨鏈至以太坊。6 月 25 日 400 枚 ETH 被存入 Tornado Cash；6 月 27 日 400 枚 ETH 被存入 Tornado Cash。

ChainCatcher 消息，慢霧安全團隊最新情報顯示，朝鮮 Lazarus 黑客組織正在使用名為 OtterCookie 的新型竊密木馬，針對加密貨幣及金融從業者發起定向攻擊。共計手法包括偽造高薪職位面試/投資人洽談、使用深度偽造 (Deepfake) 視頻冒充招聘方、將惡意軟體偽裝成"編程測試題"或"系統更新包"。竊取目標包括瀏覽器保存的登錄憑證、macOS 鑰匙串中的密碼與數字證書，以及加密錢包信息及私鑰。慢霧建議，對主動提供的職位/投資邀約保持警惕，遠程面試需多重驗證，切勿運行來歷不明的可執行文件，尤其是所謂"技術測試題"或"更新補丁"，強化終端防護 (EDR)，部署殺毒軟體並定期排查異常進程。

ChainCatcher 消息，据 Cointelegraph 報導，BitMEX 阻止了朝鮮 Lazarus Group 黑客的網絡攻擊，這些黑客通過 LinkedIn 上的虛假 NFT 合作優惠針對其員工。BitMEX 稱，黑客的策略並不複雜。據悉，Lazarus Group 在 Linkedln 上聯繫了一名 BitMEX 員工，提出 NFT 合作夥伴關係，真正的目標是誘使該員工運行來自 GitHub 存儲庫的惡意代碼。員工在審查代碼庫後標記了可疑代碼，BitMEX 的安全團隊迅速調查，識別出混淆的 JavaScript，並追蹤到與 Lazarus 有關的基礎設施。

ChainCatcher 消息，据 Finance Feeds 報導，朝鮮黑客組織 Lazarus Group 近期將攻擊目標轉向個人投資者，5 月 24 日通過惡意軟體一名商家處竊取了超過 520 萬美元。被盜資金涉及多個錢包類型，包括交易所錢包、多簽錢包和外部帳戶。區塊鏈分析師 ZackXBT 追蹤發現，黑客已通過混幣器 Tornado Cash 轉移約 1000 枚 ETH。安全專家建議個人投資者採取防護措施：使用硬體錢包存儲大額資產、啟用雙因素認證、定期更新軟體補丁、警惕可疑連結及定期核查交易記錄。此次攻擊標誌著該組織從針對機構轉向個人投資者的策略轉變。

ChainCatcher 消息，据 Cointelegraph 報導，Manta Network 聯合創始人 Kenny Li 披露了一起高度複雜的網絡釣魚攻擊。攻擊者在 Zoom 視頻通話中使用了真實團隊成員的錄像畫面，試圖誘導其下載惡意軟件。Li 表示，視頻通話中對方攝像頭開啟且面部畫面真實，但無法聽到聲音，系統提示需要更新 Zoom 並下載腳本文件，這引起了他的警覺。他認為此次攻擊可能由朝鮮國家支持的黑客組織 Lazarus 發起。攻擊者在被要求通過 Telegram 驗證身份後，隨即刪除所有消息並將其拉黑。

ChainCatcher 消息，据 Spot On Chain 監測，今天， Lazarus Group（朝鮮黑客）出售了 40.78 枚 WBTC（約合 351 萬美元），獲利 251 萬美元（+251%）--而這是他們兩年前買入的。他們在 2023 年 2 月以約 24521 美元的價格花費 99.9萬美元購買了 WBTC，並在 12 小時前以約 86170 美元的價格以 1857 枚 ETH 的價格出售。黑客隨後將這些以太坊分布在 3 個錢包中。

ChainCatcher 消息，据 Arkham 資料，朝鮮黑客組織 Lazarus Group 於 27 分鐘前向未知地址轉入 12.929 枚 BTC。最新顯示，Lazarus Group BTC 持倉數量降至 1.344 萬枚，價值約合 11.6 億美元。

ChainCatcher 消息，Wemade 旗下區塊鏈子公司 Wemix 基金會已披露因黑客攻擊損失約 865 萬枚 WEMIX 代幣（價值約 622 萬美元），其首席執行官 Kim Seok-hwan 表示，黑客不太可能是朝鮮組織 Lazarus Group，而是一名專業人士，通過竊取 NFT 平台 Nile 的服務監控認證密鑰滲透到系統中，據悉黑客為這次攻擊準備了兩個月，然後通過創建異常交易進行了 15 次提款嘗試，其中 13 次成功。Kim Seok-hwan 還透露，計劃於週五重新開放 Wemix 的全部服務，並將在新的區塊鏈基礎設施上升級安全措施。

ChainCatcher 消息，据 Bitcoin.com News 報導，朝鮮黑客組織 Lazarus Group 攻擊 Bybit 之後開始將部分盜竊資產兌換成比特幣，數據顯示該集團現在已擁有 13562 枚 BTC，價值約 11.4 億美元，這也使得朝鮮的比特幣持倉量不斷攀升，目前已經超越了薩爾瓦多（6117 枚 BTC）和不丹（10635 枚 BTC），成為全球比特幣持倉量第三大的政府實體，僅次於美國（198109 枚 BTC）和英國（61245 枚 BTC）。

ChainCatcher 消息，据 Decrypt 報導，Socket 研究團隊在一場新的攻擊中發現，朝鮮黑客組織 Lazarus 與六個新的惡意 npm 軟件包有關，這些軟件包試圖部署後門以竊取用戶憑證。此外，這些惡意軟件還能提取加密貨幣數據，竊取 Solana 和 Exodus 加密錢包中的敏感信息。攻擊主要針對 Google Chrome、Brave 和 Firefox 瀏覽器的文件以及 macOS 的鑰匙串數據，專門誘騙開發者無意中安裝這些惡意軟件包。此次發現的六個惡意軟件包包括：is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency 和 auth-validator。它們通過"typosquatting"（利用拼寫錯誤的名稱）誘騙開發者安裝。APT 組織為其中五個軟件包創建並維護了 GitHub 倉庫，偽裝成合法開源項目，增加了惡意代碼被開發者使用的風險。這些軟件包已被下載超過 330 次。目前，Socket 團隊已請求刪除這些軟件包，並報告了相關的 GitHub 倉庫和用戶賬戶。Lazarus 是臭名昭著的朝鮮黑客組織，與最近的 14 億美元 Bybit 黑客攻擊、4100 萬美元的 Stake 黑客攻擊、2700 萬美元的 CoinEx 黑客攻擊以及加密行業中無數其他攻擊有關。

ChainCatcher 消息，据 Bitcoin.com News 消息，朝鮮的 Lazarus 集團已經積累了近 10 億美元的加密貨幣，其中包括 5.92 億美元的 ETH、3.19 億美元的 BTC，甚至還有 33.7 萬美元的 BABYDOGE。