Lazarus condivide zero-day e C2 con Gunra: la Corea del Sud alza l'allarme

Il 30 luglio 2026 quattro agenzie sudcoreane — NIS, Polizia Nazionale, KISA e Financial Security Institute — hanno emesso un advisory congiunto che documenta una condivisione senza precedenti tra spionaggio statale e criminalità informatica. Il gruppo nordcoreano Lazarus ha operato per mesi attraverso lo stesso accesso tecnico impiegato dal ransomware Gunra, con identità di infrastruttura, tool e vulnerabilità che sfociano in una campagna denominata "Operation Double Barrel" da AhnLab. La novità non sta solo nel danno, ma nel modello: uno stato-nazione che funge da fornitore di exploit per una crew criminale emergente.

Il software che non puoi non usare

AnySign4PC è un componente di sicurezza finanziaria obbligatorio per accedere ai servizi bancari e governativi in Corea del Sud. Secondo AhnLab, citato da The Record, "the Korean financial security software currently being abused… is used not only in various enterprise environments but also on many personal PCs". Questa distribuzione obbligatoria trasforma ogni vulnerabilità in un attacco di superficie massiva: non serve selezionare bersagli, basta compromettere un sito legittimo che l'utente visita routine.

TechTimes ha identificato le versioni vulnerabili 1.1.4.4-1.1.4.6 e la patch 1.1.5.0 rilasciata il 1 giugno 2026 da KISA. L'exploitation attivo risale però alla seconda metà del 2025, secondo ENKI WhiteHat: una finestra di almeno sei mesi in cui milioni di sistemi hanno eseguito codice senza possibilità di difesa individuale. Al 30 luglio 2026, nessun CVE era stato assegnato alla vulnerabilità.

AhnLab ha sottolineato che "because the vulnerabilities can be triggered simply when a user accesses a specific page, not only explicitly targeted organizations but also general user environments running vulnerable software may be exposed to risk". La formula è tecnicamente una drive-by compromissione: nessun allegato da aprire, nessuna credenziale da rubare preventivamente.

I punti di contatto tecnici tra spionaggio e ransomware

L'analisi di AhnLab, riportata da The Record, documenta sovrapposizioni che superano il mero riutilizzo di una vulnerabilità pubblica. Entrambi i gruppi hanno impiegato filenames identici per i payload, argomenti di esecuzione coincidenti, tool di privilege escalation equivalenti, server C2 sovrapposti e identico SSH key fingerprint. La cancellazione del malware avveniva con la stessa tecnica: rinomina a stringhe casuali di quattro caratteri prima della rimozione.

Lazarus ha installato backdoor di spionaggio in almeno 72 organizzazioni nel 2026, comprese agenzie governative, exchange di criptovalute e fornitori di servizi IT. Gunra ha utilizzato lo stesso accesso per cifratura file, furto dati ed estorsione. Il dato che disturba i modelli di intelligence tradizionali è la direzione del flusso: mentre negli anni precedenti si è osservato nordcoreani infiltrarsi come affiliate in programmi RaaS esistenti — come documentato da Unit42 per Jumpy Pisces/Andariel con Play ransomware e da Symantec per Lazarus con Medusa — in questo caso l'evidenza suggerisce il percorso inverso.

The Record ha esplicitato questa lettura: "here, the evidence suggests the relationship may run the other direction — with state hackers supplying tools, exploits, and access to a smaller, newer group". Gunra è emerso nell'aprile 2025 con cinque aziende coreane come vittime iniziali, ha costruito il proprio ransomware sul codice sorgente trapelato di Conti v2 e transito al modello RaaS nel gennaio 2026. Al 9 marzo 2026, secondo TechTimes, il gruppo aveva rivendicato 32 vittime globali.

La catena d'attacco: watering-hole, spearphishing e AI

15 siti web legittimi coreani, gestiti dalla medesima società di sviluppo web, sono stati compromessi per attacchi watering-hole. AhnLab ritiene probabile che gli attaccanti abbiano prima violato il provider di hosting condiviso, ottenendo così accesso a un portale di distribuzione multiplo senza dover attaccare singolarmente ogni destinazione finale.

In parallelo, una campagna di spearphishing ha preso di mira un'azienda di difesa coreana con email camuffate da survey su semiconduttori GaN. AhnLab ha notato un uso probabile di intelligenza artificiale nella generazione delle lure pages, segnalando un livello di personalizzazione che accelera la scala senza richiedere operatori linguistici dedicati per ogni settore.

Plainbit ha ricostruito tecnicamente la catena exploit tramite WebSocket e file PNG, secondo TechTimes. La scelta del formato immagine non è casuale: consente di bypassare filtri che ispezionano attivamente eseguibili e script, mentre il payload si attiva nel contesto del software client-side già presente sulla macchina.

"a high likelihood of technical linkage" — AhnLab, classificazione ufficiale della relazione Lazarus-Gunra

Perché è importante

Il dossier non documenta l'entità dei dati esfiltrati nelle 72 organizzazioni Lazarus né specifica se le vittime di spionaggio e quelle di ransomware si sovrappongano. Non emerge che Lazarus abbia monetizzato direttamente gli accessi ceduti a Gunra, né che la condivisione di infrastrutture equivalga a una struttura di comando unificata. L'origine geografica degli operatori Gunra resta non attribuita: l'ipotesi precedente di operatori europei orientali, legata all'eredità del codice Conti, non è stata confermata né smentita dal material disponibile.

Il brief non documenta inoltre misure correttive specifiche oltre al rilascio della patch KISA, né fornisce i valori esatti degli indicatori tecnici — SSH fingerprint, domini C2, filenames specifici — che restano non pubblicati nei report accessibili. La fonte non specifica la natura dei dati esposti nel corso delle operazioni Gunra.

Un confine che si dissolve: lettura

L'advisory congiunto del 30 luglio 2026 non è un'eccezione isolata, ma l'accelerazione di una tendenza già mappata. Quello che cambia è la direzione del flusso: non più criminali che acquistano accesso da stati, ma stati che alimentano criminali con zero-day e infrastruttura matura. Per le organizzazioni con operazioni in Corea del Sud o dipendenze da software finanziario coreano, questo significa che la compromissione di un sito legittimo può ora attivare due catene di danno distinte ma sovrapposte — spionaggio e ransomware — con tempistiche e obiettivi diversi.

Per il settore finanziario globale, la distinzione tra APT e cybercrime si erode dove più conta: nella capacità di modellare il rischio. Se gli zero-day statali diventano commodity disponibili a gruppi con sei mesi di storia, i framework di threat intelligence devono ricostruire velocità di propagazione che non hanno mai misurato. La domanda che resta aperta è chi protegga gli utenti costretti a eseguire software vulnerabile per legge, quando la patch arriva dopo mesi di exploitation attivo.

Fonti

• https://therecord.media/north-korea-hackers-ransomware
• https://databreaches.net/2026/07/31/north-koreas-lazarus-group-sharing-tools-with-ransomware-hackers-south-korean-agencies-warn/
• https://ground.news/article/north-koreas-lazarus-group-sharing-tools-with-ransomware-hackers-south-korean-agencies-warn
• https://f4n6.co.uk/security-feed/north-koreas-lazarus-group-sharing-tools-with-ransomware-hackers-south-korean-agencies-warn/
• https://www.techtimes.com/articles/322157/20260730/state-hackers-made-south-koreas-mandatory-banking-software-zero-day-weapon.htm
• https://finance.biggo.com/news/88c65712-0379-4902-a1c6-84d52503a358
• https://therecord.media/north-korean-hackers-collaborate-with-play-ransomware
• https://therecord.media/north-korean-hackers-using-medusa-ransomware
• https://therecord.media/us-indicts-north-korean-hacker-ransomware

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti