Северокорейские хакеры воруют миллиарды долларов, похищают военные разработки, следят за политиками и журналистами, а иногда устраиваются программистами в иностранные компании под чужими именами. За подобными операциями стоят специализированные группы, многие из которых работают в интересах разведывательных и государственных структур КНДР.
Lazarus, Kimsuky, Andariel и BlueNoroff известны далеко за пределами профессионального сообщества. Однако перечень северокорейских группировок значительно шире. В исследованиях встречаются десятки названий, включая малоизвестные команды, которые специализируются на отдельных отраслях, технологиях и способах проникновения. Разберём, какие группы действуют от имени КНДР, чем занимаются и какие операции сделали их известными.
Как устроена система северокорейских хакерских группировок
Значительную часть зарубежных киберопераций КНДР связывают с Главным разведывательным управлением, известным под сокращением RGB. В открытых материалах также фигурируют Bureau 121, Lab 110 и другие подразделения. Отдельные операции связывают с Министерством государственной безопасности и структурами Трудовой партии Кореи. Полная организационная схема неизвестна.
Единого общепринятого списка группировок тоже нет. Исследовательские компании присваивают названия на основании обнаруженных инструментов, серверов, методов проникновения и выбора жертв. Например, Microsoft использует обозначения Diamond Sleet и Emerald Sleet, CrowdStrike предпочитает Labyrinth Chollima и другие названия с Chollima. В июле 2026 года Google начала переход на новую классификацию, в которой северокорейские группы получают названия с NEPTUNE.
Названия не всегда соответствуют отдельным подразделениям. Lazarus долгое время служило общим обозначением нескольких направлений. BlueNoroff и APT38 частично пересекаются, но современные исследователи различают финансовые команды по их операциям. Некоторые названия обозначают только кампании или вредоносные программы. Поэтому ниже приведены основные группы и кластеры активности с учётом известных пересечений.
Lazarus Group и её подразделения
Lazarus Group
Специализация. Кибершпионаж, финансовые преступления, разрушительные атаки и кража технологий.
Lazarus Group является наиболее известным названием северокорейских хакеров. С группой связывают уничтожение данных Sony Pictures в 2014 году, кражу 81 миллиона долларов у центрального банка Бангладеш в 2016 году и распространение WannaCry в 2017 году. Последняя атака нарушила работу сотен тысяч компьютеров по всему миру. Lazarus также связывают с многочисленными операциями против банков и криптовалютных организаций.
Другие названия включают Hidden Cobra, Guardians of Peace, NICKEL ACADEMY и некоторые исторические обозначения Labyrinth Chollima. Однако Lazarus часто выступает собирательным названием, поэтому не каждую приписываемую ей атаку можно отнести к одному коллективу. Подробнее история группировки разобрана в отдельном обзоре.
Labyrinth Chollima и Diamond Sleet
Специализация. Стратегический шпионаж, оборонные технологии, промышленность, телекоммуникации и критическая инфраструктура.
Labyrinth Chollima является одним из старейших направлений северокорейской активности. С ним пересекаются Diamond Sleet, ZINC, Black Artemis и TEMP.Hermit. В новой классификации Google последнее название заменено на HERMIT NEPTUNE. Операторы используют адресный фишинг, вредоносные программы, уязвимости Windows и браузеров. Среди известных инструментов встречается FudModule, предназначенный для скрытной работы на уровне ядра Windows.
В январе 2026 года CrowdStrike разделила прежнюю Labyrinth Chollima на три направления. Основное сохранило название и сосредоточилось преимущественно на разведке, а два финансовых получили имена Golden Chollima и Pressure Chollima. Разделение основано на различиях в целях, инструментах и характере операций, хотя команды продолжают пользоваться общей инфраструктурой.
UNC2970
Специализация. Кража оборонных, аэрокосмических и энергетических разработок через поддельные предложения о работе.
UNC2970 пересекается с TEMP.Hermit, но отслеживается отдельно. Группа выбирает специалистов оборонных и технологических компаний, изучает их профессиональные биографии и предлагает подходящие вакансии. Вместе с описанием должности жертва получает вредоносный файл или программу. В одной из кампаний использовалась изменённая версия SumatraPDF, которая действительно открывала документы, но одновременно запускала вредоносный код.
С UNC2970 также связывают прежнее обозначение UNC4034. Основная цель состоит в получении доступа к рабочим компьютерам инженеров и корпоративным системам, содержащим техническую документацию.
Группировки, специализирующиеся на финансовых преступлениях
APT38 и BeagleBoyz
Специализация. Банковские кражи, межбанковские переводы, атаки на платёжные системы и банкоматы.
APT38 действует как минимум с 2014 года. Группу связывают с атакой на центральный банк Бангладеш, попытками вывода денег из других банков и операциями против финансовых учреждений в десятках стран. Среди пересекающихся названий встречаются BeagleBoyz, NICKEL GLADSTONE, BlueNoroff и Stardust Chollima. Точное соответствие зависит от классификации исследователей.
Одна из наиболее необычных операций получила название FASTCash. Злоумышленники вмешивались в обработку запросов на снятие наличных, подделывая положительные ответы платёжной инфраструктуры. Подготовленные участники затем снимали деньги в банкоматах. К середине 2020-х годов прежняя структура APT38, предположительно, изменилась, а часть финансовых операций стали связывать с новыми кластерами.
BlueNoroff, Sapphire Sleet и Midnight Neptune
Специализация. Кража криптовалюты, атаки на инвестиционные фонды, криптобиржи и разработчиков финансовых приложений.
BlueNoroff стала одним из самых известных финансовых направлений КНДР. С ней пересекаются Sapphire Sleet, COPERNICIUM, CryptoCore, CageyChameleon, Alluring Pisces и UNC1069. В июле 2026 года Google переименовала UNC1069, также известную как MASAN, в MIDNIGHT NEPTUNE. Названия охватывают близкую активность, но не являются полными синонимами.
Операторы изображают инвесторов, деловых партнёров и организаторов видеовстреч. Жертв убеждают установить специальную программу или выполнить команду для исправления вымышленной ошибки. Среди применявшихся инструментов встречались вредоносные торговые приложения, компоненты удалённого доступа и средства кражи криптовалютных кошельков.
Golden Chollima и Citrine Sleet
Специализация. Регулярные кражи цифровых активов, заражение торговых приложений и атаки через программные зависимости.
Golden Chollima выделена CrowdStrike в 2026 году как финансовое направление, ориентированное преимущественно на многочисленные криптовалютные организации. В отличие от Pressure Chollima, которая концентрируется на особенно крупных целях, Golden Chollima чаще проводит операции меньшего масштаба. Разграничение остаётся исследовательской классификацией, а не подтверждённой организационной схемой КНДР.
С этим кругом активности частично пересекается Citrine Sleet, также известная как Storm-0139 и Storm-1222. Группа использовала вредоносные торговые приложения, заражённые пакеты и браузерные уязвимости. Отдельные операции связывают с семейством AppleJeus. Последнее название относится прежде всего к вредоносным программам и связанным кампаниям.
Pressure Chollima, TraderTraitor и Jade Sleet
Специализация. Крупнейшие кражи криптовалюты, компрометация разработчиков, платёжных сервисов и механизмов подписания транзакций.
Pressure Chollima пересекается с TraderTraitor, UNC4899, Slow Pisces, PUKCHONG и Jade Sleet. Группу связывают с особенно крупными атаками на криптовалютную инфраструктуру. Операторы тщательно готовят проникновение, нередко начиная с компьютеров разработчиков или сотрудников компаний, которые обслуживают биржевые кошельки.
21 февраля 2025 года TraderTraitor похитила около 1,5 миллиарда долларов у Bybit. Взлому предшествовала компрометация разработчика инфраструктуры Safe{Wallet}, после чего атакующие вмешались в подготовку транзакций. Подробности раскрыты в расследовании Bybit. ФБР официально связало нападение с КНДР.
29 октября 2026 года произошла ещё более масштабная атака на Binance. Из связанных с биржей кошельков вывели активы примерно на 6,36 миллиарда долларов в десяти блокчейнах. Специалисты TRM Labs с высокой уверенностью связали нападение с TraderTraitor. Однако атрибуция пока остаётся оценкой исследователей, а окончательные обстоятельства взлома устанавливаются. Первые результаты расследования указывают на возможную компрометацию ноутбука инженера и внутреннего сервиса биржи.
Moonstone Sleet
Специализация. Финансовые преступления, кибершпионаж, фиктивные компании и программы-вымогатели.
Moonstone Sleet, ранее Storm-1789, сочетает несколько направлений. Группа создаёт вымышленные технологические компании, предлагает работу, распространяет заражённые приложения и использует собственные программы-вымогатели. В отличие от большинства криптовалютных команд, операторы пробовали довольно необычные способы привлечения жертв.
Один из примеров связан с компьютерной игрой DeTankWar. Злоумышленники распространяли действительно работавшую игру со встроенным вредоносным компонентом. Microsoft рассматривает Moonstone Sleet как отдельную группу, несмотря на обнаруженные пересечения с Diamond Sleet.
H0lyGh0st
Специализация. Вымогательство, шифрование корпоративных данных и угрозы публикации похищенной информации.
H0lyGh0st известна также как Storm-0530 и DEV-0530. Операторы применяли программы семейств SiennaPurple и SiennaBlue, требовали выкуп в криптовалюте и атаковали преимущественно небольшие и средние организации. Среди целей встречались предприятия, учебные учреждения и компании сферы услуг.
Технические связи с Andariel позволяют предполагать северокорейское происхождение группы. Однако остаётся неизвестным, выполняли ли операторы государственное задание или использовали имеющиеся ресурсы для собственного заработка.
Группировки политического и военного кибершпионажа
Kimsuky и APT43
Специализация. Политическая разведка, внешняя политика, санкции, ядерные вопросы, кража переписки и учётных данных.
Kimsuky действует как минимум с 2012 года. Группа атакует дипломатов, политологов, журналистов, университетских исследователей, сотрудников международных организаций и аналитических центров. Главный интерес связан с политикой США, Южной Кореи и других государств в отношении Пхеньяна. Операторы нередко выдают себя за журналистов или исследователей, постепенно завоёвывая доверие жертв.
С Kimsuky пересекаются Emerald Sleet, THALLIUM, Black Banshee, Velvet Chollima, Springtail, Earth Kumiho, PatheticSlug и APT43. Последнюю Mandiant выделяла как отдельный кластер, который помимо разведки занимался финансовыми операциями для оплаты собственной инфраструктуры. Разные исследователи проводят границы семейства Kimsuky неодинаково.
SharpTongue
Специализация. Кража электронной почты и документов специалистов по КНДР, вопросам вооружений и международной безопасности.
SharpTongue является отдельным кластером активности, связанным с Kimsuky. Наиболее известный инструмент группы, SHARPEXT, представляет собой вредоносное расширение браузера. После заражения компьютера расширение получает доступ к почтовому ящику через уже открытую пользовательскую сессию.
Такой способ позволяет похищать содержимое переписки без повторного ввода пароля. SHARPEXT применялся против пользователей Gmail и других веб-почтовых сервисов в Chrome, Edge и Whale.
APT37, ScarCruft и Pearl Sleet
Специализация. Слежка за северокорейскими перебежчиками, правозащитниками, журналистами и государственными организациями.
APT37 известна как ScarCruft, Reaper, Ricochet Chollima, Group123, RedEyes и PLAIN NEPTUNE. Группа действует как минимум с 2012 года, преимущественно против целей в Южной Корее и других азиатских странах. Использует адресный фишинг, заражённые документы, уязвимости Windows и браузеров. Среди характерных инструментов встречаются RokRAT и BirdCall.
В мае 2026 года раскрыли заражение ScarCruft игровой платформы для этнических корейцев китайского региона Яньбянь. Злоумышленники подменяли обновления Windows-клиента и приложений Android, получая возможность собирать документы, переписку, контакты и звук с устройств. Предполагаемыми целями были перебежчики и другие люди, представляющие интерес для властей КНДР.
Pearl Sleet, прежде LAWRENCIUM, также специализируется на наблюдении за перебежчиками. Её активность частично пересекается с APT37, однако Microsoft отслеживает группу отдельно.
Andariel и APT45
Специализация. Военные разработки, ядерные технологии, энергетика, машиностроение, промышленный шпионаж и вымогательство.
Andariel известна также как APT45, Onyx Sleet, PLUTONIUM, Stonefly, Silent Chollima, NICKEL HYATT и GRASS NEPTUNE. Группа действует как минимум с 2009 года. Её связывают с третьим бюро Главного разведывательного управления КНДР. Среди целей находятся оборонные предприятия, научные учреждения, производители промышленного оборудования и организации энергетического сектора.
Andariel сочетает разведывательные операции с финансовыми преступлениями. В частности, группу связывают с применением программы-вымогателя Maui против американских медицинских организаций. Полученные средства, по версии американских правоохранительных органов, помогали финансировать дальнейшие атаки на технологические и оборонные предприятия.
Ruby Sleet
Специализация. Аэрокосмические разработки, спутниковые технологии, вооружения и промышленная документация.
Ruby Sleet, ранее CERIUM, специализируется на техническом шпионаже. Операторы атакуют аэрокосмические и оборонные организации, применяя поддельные установщики, вредоносные приложения и похищенные сертификаты цифровой подписи.
В декабре 2023 года группа скомпрометировала южнокорейскую строительную компанию и подменила распространяемую версию программы VeraPort. В классификациях встречаются пересечения с Velvet Chollima, хотя другие исследователи используют такое название для активности Kimsuky.
Konni и Opal Sleet
Специализация. Дипломатический шпионаж, кража документов и учётных данных государственных организаций.
Konni первоначально использовалось как название вредоносной программы и связанных кампаний. Среди пересекающихся обозначений встречаются Opal Sleet, OSMIUM, Planedown, Earth Imp и UNC4531. Операторы интересовались дипломатическими структурами и государственными учреждениями, в том числе в России и Украине.
Связи с Kimsuky и APT43 установлены на уровне пересечений отдельных кампаний и инструментов. Полностью отождествлять все три направления нельзя.
CloudDragon и KimDragon
Специализация. Государственный и промышленный шпионаж, аэрокосмические исследования.
CloudDragon выделяет исследовательская компания TeamT5. Кластер атаковал южнокорейские государственные и технологические организации, применял уязвимости VPN-систем и вредоносную программу MemzipRAT. В числе целей встречались организации, связанные с аэрокосмической промышленностью.
KimDragon является ещё одним названием в исследованиях TeamT5. Открытых сведений о его структуре и самостоятельных операциях значительно меньше. Обе группы связывают с широким кругом активности Kimsuky.
Фиктивные ИТ-работники и заражающие собеседования
Famous Chollima
Специализация. Проникновение в иностранные компании под видом сотрудников, заработок через удалённую работу и кража корпоративной информации.
Famous Chollima объединяет северокорейские операции, связанные с поддельными личностями и трудоустройством в зарубежные организации. Операторы создают резюме, проходят собеседования, устраиваются программистами и получают настоящую зарплату. Для сокрытия местоположения используются посредники и фермы ноутбуков, на которые работодатели отправляют рабочие устройства.
В отдельных случаях сотрудники одновременно работают в нескольких компаниях. Помимо заработной платы, злоумышленники получают доступ к исходному коду, внутренним документам и корпоративной инфраструктуре.
Jasper Sleet, UNC5267 и PurpleDelta
Специализация. Фиктивные сотрудники, поддельные профессиональные биографии и удалённый доступ через посредников.
Jasper Sleet, ранее Storm-0287, связана с северокорейскими схемами удалённого трудоустройства. Пересекающиеся названия включают UNC5267, PurpleDelta, Wagemole и CL-STA-0241. Операторы используют чужие документы, вымышленные личности и посредников, которые размещают у себя выданные работодателями компьютеры.
В 2026 году PurpleDelta связывали с десятками фиктивных личностей и более чем тысячей заявлений о приёме на работу. Некоторые операторы использовали искусственный интеллект для подготовки резюме и прохождения собеседований. UNC5267 при этом рассматривается скорее как распределённая сеть операторов, чем единая централизованная группировка.
Nickel Tapestry
Специализация. Фиктивное трудоустройство, кража исходного кода и вымогательство.
Nickel Tapestry относится к пересекающемуся кругу северокорейских ИТ-работников. Группа отличается тем, что помимо зарплаты может пытаться получить деньги за неразглашение похищенных корпоративных сведений.
После увольнения или обнаружения обмана операторы иногда угрожают публикацией исходного кода и внутренних документов. Подобные операции совмещают мошенническое трудоустройство с обычным кибервымогательством.
Contagious Interview, Coral Sleet и WaterPlum
Специализация. Заражение компьютеров разработчиков через поддельные вакансии, собеседования и технические задания.
В отличие от фиктивных ИТ-работников, операторы Contagious Interview сами изображают работодателей. Разработчику предлагают вакансию, проводят собеседование и отправляют проект с вредоносным кодом. При запуске задания компьютер заражается программами, которые крадут пароли, ключи доступа и сведения о криптовалютных кошельках.
С кампанией пересекаются Coral Sleet, ранее Storm-1877, UNC5342, PurpleBravo, NICKEL ALLEY, Tenacious Pungsan, DeceptiveDevelopment, WaterPlum, Void Dokkaebi и Gwisin Gang. Эти обозначения охватывают разные части близкой активности. Среди известных программ встречаются BeaverTail, InvisibleFerret, OtterCookie и OtterCandy. В 2026 году операторы продолжили распространять заражённые проекты через GitHub и пакеты для разработчиков.
Малоизвестные северокорейские группировки и кластеры
Помимо основных подразделений, исследователи выделяют небольшие кластеры, о которых известно сравнительно мало. Некоторые названия используются только одной компанией, другие относятся к историческим операциям, позднее объединённым с более крупными группами.
В таблице собраны дополнительные названия, встречающиеся в исследованиях северокорейской активности. Для предварительных кластеров связь с КНДР и организационная самостоятельность могут оставаться неподтверждёнными.
| Группа или кластер | Специализация и особенности |
|---|---|
| TA406 | Политический шпионаж, кража учётных данных, финансовые мошеннические кампании. Один из кластеров широкого семейства Kimsuky. В 2025 году атаковал украинские государственные учреждения. |
| TA408 | Кластер Proofpoint внутри Kimsuky. Исторически интересовался внешней политикой, академическими организациями, криптовалютой и фармацевтическими компаниями. |
| TA427 | Политическая разведка, длительная переписка с экспертами по международной безопасности, кража документов. Пересекается с APT43 и Emerald Sleet. |
| ARCHIPELAGO | Шпионский кластер Google TAG, пересекающийся с APT43. Цели включают экспертов по санкциям, правам человека и ядерному нераспространению. |
| WASSONITE | Промышленный шпионаж. Энергетика, атомные объекты, производство и космические исследования. Обнаружена после проникновения в сеть индийской АЭС Куданкулам. Способности нарушать технологические процессы не подтверждены. |
| COVELLITE | Промышленный кластер с техническими пересечениями Lazarus. Отличается от WASSONITE инструментами, инфраструктурой и кругом целей. |
| UNC2226 | Разведывательные операции. Первоначально интерес к исследованиям COVID-19, вакцинам и медицинским разработкам. Позднее круг целей расширился. |
| UNC3782 | Предположительно северокорейский кластер, связанный с финансовыми преступлениями и шпионажем за организациями, расследующими криптовалютные кражи. |
| UNC4736 | Атаки через цепочки поставок программ. Связан с компрометацией инфраструктуры 3CX в 2023 году и финансовыми операциями семейства Lazarus. |
| TA444 | Криптовалютные преступления. Кластер Proofpoint, частично пересекающийся с APT38, BlueNoroff и Stardust Chollima. |
| CryptoMimic | Кражи криптовалюты, поддельные финансовые приложения и фишинг. Пересечения с CryptoCore. |
| Black Alicanto | Финансовые атаки на криптовалютные организации. Связана с широким кругом активности BlueNoroff. |
| Leery Turtle | Кластер криптовалютных операций с пересечениями CryptoCore. Организационная самостоятельность не установлена. |
| GENIE SPIDER | Историческое обозначение финансовых операций. Позднее CrowdStrike объединила активность со Stardust Chollima. |
| NICKEL GLADSTONE | Банковские и криптовалютные кражи. Пересекается с APT38 и BlueNoroff. |
| NICKEL ACADEMY | Широкое обозначение северокорейской активности, связанной с Главным разведывательным управлением. |
| NICKEL HYATT | Промышленный и оборонный шпионаж. Пересекается с Andariel и APT45. |
| NICKEL ALLEY | Заражение разработчиков через вакансии и технические задания. Пересечения с PurpleBravo и Contagious Interview. |
| UNK_DeadDrop | Предположительно северокорейский кластер, выявленный в 2026 году. Заражённые репозитории GitHub, предложения работы и просьбы проверить код. Целью служат учётные данные и криптовалюта. |
| UAT-10027 | Атаки на образование и здравоохранение США с применением Dohdoor. Связь с КНДР оценена Cisco Talos с низкой уверенностью, окончательная атрибуция отсутствует. |
| Earth Kitsune | Атаки на посетителей сайтов, связанных с КНДР. Северокорейское происхождение не установлено достаточно надёжно. |
Отдельно существуют названия кампаний и вредоносных программ, которые иногда ошибочно принимают за самостоятельные группировки. DreamJob, In(ter)ception, FASTCash и SnatchCrypto обозначают конкретные операции или серии атак. DTrack, RokRAT, AppleSeed, BabyShark, BeaverTail и другие подобные названия относятся к вредоносным инструментам.
Таким образом, публично известные северокорейские операции распределены между несколькими крупными направлениями и множеством более узких кластеров. Финансовые команды специализируются на банках и криптовалюте, разведывательные собирают политическую и техническую информацию, а группы фиктивных работников используют иностранные компании как источник доходов и доступа. Точное количество самостоятельных подразделений остаётся неизвестным, поскольку общие инструменты, совместная инфраструктура и постоянные изменения состава затрудняют разграничение групп.
