ZDU · Perfil de adversario · Estado-nación
Lazarus Group
Patrocinado por el Estado norcoreano y atribuido a su Buró General de Reconocimiento. MITRE lo vincula con el ataque destructivo contra Sony Pictures en 2014, y bajo el mismo paraguas opera APT38, la rama del robo por SWIFT al Banco de Bangladesh.
Labyrinth ChollimaHIDDEN COBRAGuardians of PeaceZINCDiamond SleetMITRE G0032
78
CVE con su nombre
100%
En CISA KEV
94
Técnicas ATT&CK
6
Capítulos ZDU
01
Ficha del adversario
Quién es
Grupo patrocinado por Corea del Norte y atribuido al Buró General de Reconocimiento (RGB), activo desde al menos 2009 según MITRE ATT&CK. También lo conocen como HIDDEN COBRA, ZINC y Diamond Sleet.
A quién le apunta
Medios y entretenimiento, bancos e instituciones financieras, plataformas de criptomonedas y empresas de tecnología. No vive de la extorsión: busca dinero para el régimen y daño a quien considera enemigo.
Lo que lo hace distinto
Mezcla espionaje, robo financiero y sabotaje. En Sony Pictures no hubo nota de rescate: hubo borrado. Ese es el rasgo que lo separa de casi cualquier otro adversario de este universo.
Por qué aparece aquí
Es el adversario de los episodios 004 y 005 del Zero Day Universe, y su nombre aparece en varios capítulos ligados a vulnerabilidades del catálogo CISA KEV que se listan al final.
02
El paraguas norcoreano
Lazarus Group · G0032
El nombre paraguas. MITRE reconoce que varios investigadores reportan toda la actividad cibernética del Estado norcoreano bajo este nombre, en lugar de separar sus grupos.
APT38 · G0082
La rama financiera: bancos, casinos, casas de cambio de criptomonedas, cajeros y terminales SWIFT en al menos 38 países. Suya es la operación del Banco de Bangladesh de 2016 que cuenta el episodio 005.
Andariel · G0138
MITRE lo considera un subconjunto de Lazarus. Ataques destructivos contra Corea del Sur y operaciones contra cajeros, bancos y casas de cambio de criptomonedas.
AppleJeus · G1049
Bajo el mismo paraguas y enfocado en criptomonedas. MITRE le atribuye el ataque a la cadena de suministro de 3CX.
Por eso el episodio 005 va rotulado «APT38, del paraguas Lazarus»: es la forma precisa de contarlo sin borrar la distinción que hace MITRE entre los grupos.
03
Lo que toca a México
MITRE ATT&CK registra a Bancomext, el Banco Nacional de Comercio Exterior, entre las operaciones significativas de APT38, junto con el Banco de Bangladesh y el Banco de Chile. En nuestro registro de víctimas publicadas en portales de filtración no aparece ninguna empresa mexicana, y es lo esperable: este adversario no extorsiona con un portal, roba o destruye.
04
Cómo opera
Acceso inicial 5
Reconocimiento 2
Desarrollo de recursos 8
Ejecución 8
Persistencia 4
Sigilo 23
Debilitamiento de defensas 3
Acceso a credenciales 2
Descubrimiento 11
Movimiento lateral 3
Recolección 6
Comando y control 11
Exfiltración 2
Impacto 6
Técnicas que MITRE ATT&CK atribuye a G0032, agrupadas por táctica. Abra cada táctica para ver el detalle; cada técnica lleva a su ficha en ATT&CK.
05
Arsenal
AppleJeusAuditCredBADCALLBankshotBLINDINGCANCryptoisticDaclsDtrackECCENTRICBANDWAGONFALLCHILLHARDRAINHOPLIGHTHotCroissantKEYMARBLEMagicRATProxysvcRATANKBATAINTEDSCRIBEThreatNeedleTYPEFRAMEVolgmerWannaCrynetsh · herramientaRawDisk · herramientaResponder · herramientaroute · herramienta
Malware y herramientas que MITRE ATT&CK le atribuye. Los que van en verde tienen ficha en nuestro catálogo de armamento; el resto lleva a ATT&CK.
06
Superficie que toca
Repartidas entre 27 fabricantes. Cifras vivas de nuestra base, con corte al 7 de noviembre de 2026.
La mayoría son atribuciones probables: sirven para priorizar parches, no para acusar. Antes de citar una vulnerabilidad por nombre conviene revisar su fuente.
07
Episodios
EP.004 · 15:17
Sony Pictures 2014: 3,262 equipos borrados y ningún rescate | Zero Day Universe EP.004
EP.005 · 14:18
Bangladesh Bank 2016: 35 órdenes por SWIFT y casi mil millones | Zero Day Universe EP.005
El episodio 005 trata la operación del Banco de Bangladesh, que MITRE asigna a APT38, del paraguas Lazarus.
08
Dónde aparece en el universo ZDU
ZDU-008
CVE-2026-3909 Google Skia: Escritura Fuera de Límites en Motor Gráfico
ZDU-012
CVE-2026-3910 Google Chromium V8: Ejecución Remota de Código
ZDU-021
CVE-2026-21385 Qualcomm: Corrupción de Memoria en Chipsets Móviles e Industriales
ZDU-034
Samsung MagicINFO 9: Lazarus Group Compromete Señalización Crítica
ZDU-050
CVE-2023-7028 GitLab: Account Takeover Crítico Sin Autenticación
ZDU-051
CVE-2025-4632 Samsung MagicINFO 9 Server: Path Traversal con Escritura Privilegiada
El perfil que lee un CISO no es el del reporte de fabricante: es a quién tiene enfrente, con qué opera y a quién ya golpeó en su sector. Eso es lo que hace Blacktrace todos los días.
Hablar con el equipo QMA