用公开资料梳理
针对韩国的五个威胁组织
本页内容只取自 MITRE ATT&CK 组织页面、各国政府发布的安全公告和安全厂商报告。
每个组织常用哪些技术，在自己的日志里该看什么，怎样确认这些技术是否真的被拦住，我们都写了出来。
五个组织一览
这五个组织都被 MITRE ATT&CK 归为与朝鲜政府有关联的组织。
Genox 没有自行做任何归因（attribution）判断，事件案例也只转述公开资料中出现过的内容。
| 组织 | ATT&CK ID | 主要目的 | 公开资料中与韩国相关的目标 | 代表性公开资料 |
|---|---|---|---|---|
| Lazarus Group | G0032 | 情报收集、窃取资金、破坏 | 金融、虚拟资产、国防与航空。MITRE 还列出了它与 DarkSeoul、Ten Days of Rain 等行动的关联 | CISA AA22-108A |
| Kimsuky | G0094 | 情报收集 | 政府机关、智库、外交安全及朝鲜问题专家、媒体 | CISA AA20-301A，韩美联合公告（2023.6） |
| APT37 | G0067 | 情报收集 | 以韩国为主。经由韩国网站发起的水坑攻击 | FireEye（2018），Volexity（2021） |
| Andariel | G0138 | 情报收集、窃取资金 | 政府机关、军方、韩国企业、国防、航空、核能、工程 | CISA AA24-207A（韩国国家情报院、警察厅联合发布） |
| APT38 | G0082 | 窃取资金 | 银行、虚拟资产交易所、支付系统。没有证据表明它专门针对韩国，但韩国金融机构属于同一类目标 | CISA AA20-239A |
基准日期 2026-11-07。我们在这一天重新核对了 MITRE ATT&CK 组织页面。ATT&CK 每次版本更新，技术列表和别名都可能变化，使用前请再看一遍原文。
Lazarus Group
MITRE 将其描述为与侦察总局（RGB）有关联的组织，至少从 2009 年起就开始活动。MITRE 同时指出，由于朝鲜各组织之间共用人员和工具，“Lazarus”常被用作朝鲜方面所有活动的统称。各份报告界定的范围不同，请不要只凭名字就断定是同一个行为者。
别名
主要目标
金融机构、虚拟资产用户，以及国防和航空领域的员工。在 2019 年至 2020 年的 Operation Dream Job 行动中，攻击者用虚假的招聘邀约和 LinkedIn 账号接触国防和航空行业的员工。
初始入侵
典型手法是以招聘为诱饵的鱼叉式钓鱼。CISA AA22-108A 描述了这样一种方式：向区块链企业的系统管理员和 DevOps 人员提供高薪职位，诱导对方下载伪装成虚拟资产交易应用的恶意应用（TraderTraitor）。应用里的更新函数会下载并执行更多恶意代码。
2023 年 11 月，英国 NCSC 与韩国国家情报院发布的联合公告，介绍了一起经由新闻网站、利用韩国本土安全认证软件（MagicLine4NX，CVE-2023-45797）漏洞的供应链攻击。公告只称其为朝鲜关联行为者，没有点名具体组织。
| 技术 ID | 技术 | 战术 |
|---|---|---|
| T1566.001 | Spearphishing Attachment（鱼叉式钓鱼附件） | 初始访问 |
| T1566.002 | Spearphishing Link（鱼叉式钓鱼链接） | 初始访问 |
| T1059.001 | PowerShell | 执行 |
| T1543.003 | Windows Service（创建或修改 Windows 服务） | 持久化 |
| T1547.001 | Registry Run Keys / Startup Folder（注册表 Run 键与启动文件夹） | 持久化 |
| T1110.003 | Password Spraying（密码喷洒） | 凭据访问 |
| T1557.001 | LLMNR/NBT-NS Poisoning and SMB Relay（LLMNR/NBT-NS 投毒与 SMB 中继） | 凭据访问 |
| T1560.001 | Archive via Utility（用压缩工具打包收集的数据） | 收集 |
| T1041 | Exfiltration Over C2 Channel（通过 C2 通道外传） | 数据渗出 |
| T1485 | Data Destruction（数据销毁） | 影响 |
检测时要确认的内容
- 通过即时通讯工具或邮件收到的压缩包、安装文件运行后，是否紧接着启动了 PowerShell 或 cmd。在 EDR 进程树或 Sysmon 事件 1（进程创建）中查看父子进程关系。
- 新服务注册（System 日志 7045）和 Run 键变更（Sysmon 事件 13）。非工作时间出现的服务，哪怕名字看起来很正常，也要核对二进制路径和签名。
- 同一来源对多个账号连续登录失败的模式。要把 Windows 安全日志 4625、4771 和云身份服务的登录日志放在一起看，才能发现密码喷洒。
- 网络中会响应 LLMNR（UDP 5355）、NBT-NS（UDP 137）的终端。如果用不到这两个协议，用组策略关掉比做检测更可靠。
- 证书、电子签名代理这类韩国业务用安全程序的进程启动 shell，或连接陌生外部地址的情况。供应链攻击正是借这些正常程序进来的。
Kimsuky
至少从 2012 年起活动的情报收集组织。起初针对韩国政府机关、智库和各领域专家，之后把目标扩大到联合国，以及美国、日本、俄罗斯、欧洲的政府、教育和制造业。MITRE 引用的资料认为，2014 年韩国水电与核电公司（KHNP）遭入侵一事出自该组织。
别名
主要目标
研究朝鲜半岛外交安全、核政策和对朝制裁的个人与机构。2023 年 6 月的韩美联合公告整理了针对智库、学术界和媒体，冒充记者、研究人员和政府官员的案例。
初始入侵
从公开案例看，反复出现的做法是先不带恶意文件，用采访或咨询请求的邮件搭话。对方回信后，下一封邮件才附上 HWP、Office 文档、压缩的 LNK 文件或云存储链接。仿冒登录安全提醒的账号窃取链接也很常见。FBI 等机构在 2024 年发布的公告介绍了冒充 DMARC 策略宽松的域名发送邮件的案例。
| 技术 ID | 技术 | 战术 |
|---|---|---|
| T1566.001 | Spearphishing Attachment（鱼叉式钓鱼附件：HWP、Office、压缩的 LNK） | 初始访问 |
| T1566.002 | Spearphishing Link（鱼叉式钓鱼链接） | 初始访问 |
| T1204.002 | Malicious File（用户执行恶意文件） | 执行 |
| T1059.001 | PowerShell | 执行 |
| T1218.005 | Mshta（借 mshta 代理执行） | 防御规避 |
| T1547.001 | Registry Run Keys / Startup Folder（注册表 Run 键与启动文件夹） | 持久化 |
| T1053.005 | Scheduled Task（计划任务） | 持久化 |
| T1003.001 | LSASS Memory（转储 LSASS 内存） | 凭据访问 |
| T1555.003 | Credentials from Web Browsers（浏览器中保存的凭据） | 凭据访问 |
| T1102.002 | Bidirectional Communication（借 Web 服务双向通信） | 命令与控制 |
检测时要确认的内容
- mshta.exe 访问外部 URL，或在 explorer.exe 下经由 LNK 被执行的情况。普通用户电脑上很少用到 mshta，只要建好基线就能筛出来。
- 韩文办公软件（Hwp.exe）或 Office 进程是否以 cmd、PowerShell、wscript 为子进程。
- 以普通用户权限创建的计划任务。在安全日志 4698 或 Microsoft-Windows-TaskScheduler 运行日志中，把任务名和执行命令一起看。
- 非浏览器进程读取 Chrome、Edge 的 Login Data、Cookies 文件的情况，以及新安装的浏览器扩展。
- 邮件网关中，发件人是外部地址、显示名却是机构人士或记者的邮件；同时检查自家域名的 DMARC 策略是否还停留在 p=none。
- 新建本地管理员账号（4720、4732）并开启远程桌面的组合。也可以通过注册表 fDenyTSConnections 值的变更来发现。
APT37
至少从 2012 年起活动的情报收集组织，MITRE 记载其主要目标为韩国。日本、越南、俄罗斯、中东等地也有其活动报告。入侵韩国网站、伺机攻击访客的做法在多份报告中反复出现。
别名
主要目标
按 MITRE 的描述，主要目标国家是韩国。在下文的 Volexity 案例中，受害者是访问一家朝鲜问题专门媒体网站的读者。2016 年至 2018 年的 Operation Daybreak、Erebus、Golden Time、FreeMilk 等行动都与该组织有关联。
初始入侵
手法包括水坑攻击、通过种子网站传播、带 HWP 附件的鱼叉式钓鱼，以及利用浏览器和文档软件漏洞。Volexity 报告称，2021 年朝鲜问题专门媒体 Daily NK 的网站被植入了 Internet Explorer 漏洞（CVE-2020-1380、CVE-2021-26411）的利用代码，之后又出现了通过 Microsoft Graph API 通信的 BLUELIGHT 恶意软件。
| 技术 ID | 技术 | 战术 |
|---|---|---|
| T1189 | Drive-by Compromise（路过式攻击，水坑） | 初始访问 |
| T1566.001 | Spearphishing Attachment（鱼叉式钓鱼附件） | 初始访问 |
| T1203 | Exploitation for Client Execution（利用客户端程序漏洞） | 执行 |
| T1059.005 | Visual Basic | 执行 |
| T1547.001 | Registry Run Keys / Startup Folder（注册表 Run 键与启动文件夹） | 持久化 |
| T1548.002 | Bypass User Account Control（绕过 UAC） | 权限提升 |
| T1055 | Process Injection（进程注入） | 防御规避 |
| T1027.003 | Steganography（隐写术） | 防御规避 |
| T1123 | Audio Capture（录音） | 收集 |
| T1102.002 | Bidirectional Communication（借云服务和社交平台双向通信） | 命令与控制 |
检测时要确认的内容
- 浏览器进程以可执行文件或脚本引擎为子进程的情况。正常使用中几乎不会出现，是一条误报很少的规则。
- 仍在使用的 Internet Explorer 模式和 mshtml 的情况。从资产管理数据中筛出使用 IE 模式的电脑，排补丁优先级会容易很多。
- 非浏览器进程是否访问 Dropbox、pCloud、Box、Yandex、Microsoft Graph API 等云 API。要在代理日志或 DNS 日志中和进程名关联起来看才有意义。
- 下载图片文件后，同一进程马上创建可执行内存区域的模式（用隐写术隐藏的载荷）。
- 打开 HWP 文档后产生的网络连接，以及临时文件夹中新出现的可执行文件。
Andariel
MITRE 把 Andariel 视为 Lazarus Group 的下属组织，并记载其至少从 2009 年起主要针对韩国政府机关、军方和韩国企业。除破坏性攻击外，它也针对 ATM、银行和虚拟资产交易所开展过以钱为目的的活动。2024 年 7 月的 CISA AA24-207A，是韩国国家情报院、警察厅与美英机构联合发布的公告。
别名
主要目标
按 AA24-207A 的说法，国防、航空航天、核能、工程是首要目标，其次是医疗和能源。同一份公告还提到，针对美国医疗机构的勒索软件收益被用来资助情报收集活动。
初始入侵
以攻击暴露在互联网上的服务器的已知漏洞并植入 Webshell 为主。公告中提到了 Log4j（CVE-2021-44228）、Apache ActiveMQ（CVE-2023-46604）、TeamCity（CVE-2023-42793）等。公告也记录了在 ZIP 中夹带 LNK 或 HTA 的钓鱼手法。
| 技术 ID | 技术 | 战术 |
|---|---|---|
| T1592.002 | Software（收集受害主机的软件信息） | 侦察 |
| T1190 | Exploit Public-Facing Application（利用对外应用漏洞） (AA24-207A) | 初始访问 |
| T1189 | Drive-by Compromise（路过式攻击） | 初始访问 |
| T1566.001 | Spearphishing Attachment（鱼叉式钓鱼附件） | 初始访问 |
| T1203 | Exploitation for Client Execution（利用客户端程序漏洞） | 执行 |
| T1505.003 | Web Shell（Webshell） (AA24-207A) | 持久化 |
| T1027.003 | Steganography（隐写术） | 防御规避 |
| T1049 | System Network Connections Discovery（系统网络连接发现） | 发现 |
| T1057 | Process Discovery（进程发现） | 发现 |
| T1105 | Ingress Tool Transfer（从外部下载工具） | 命令与控制 |
未加标注的技术依据 MITRE 组织页面，括号标注的依据 CISA 公告内容。
检测时要确认的内容
- Tomcat、ActiveMQ、TeamCity 等 Java 服务器进程是否启动了 cmd、PowerShell、sh。Web 服务器账号执行 shell 的那一刻，往往就是最早的信号。
- Web 根目录下新出现或被修改的 jsp、aspx、php 文件。如果没有文件完整性监控，可以先从对比发布记录和文件修改时间做起。
- 公告中提到的命令模式：用 netstat 查看连接列表，用 curl 把文件下载到临时文件夹，用 vssadmin 创建卷影副本后复制 NTDS.dit。
- Mimikatz、ProcDump、AdFind、Impacket、PLINK 等双重用途工具的执行。要和管理员实际在用的工具清单对照，误报才会减少。
- 用 VMProtect、Themida 加壳的可执行文件、内部服务器之间的 RDP 移动，以及随后向云存储或 FTP 发出的大流量传输。
APT38
与侦察总局有关联、以钱为目的的组织，至少从 2014 年起，在至少 38 个国家针对银行、金融机构、赌场、虚拟资产交易所、SWIFT 终端和 ATM 下手。2016 年孟加拉国中央银行事件常被视为代表性案例。公开资料没有单独提到韩国，但韩国金融机构和虚拟资产服务商属于同一类目标，所以一并收录。
别名
主要目标
银行的支付交换服务器和 SWIFT 终端、银行间支付处理商、虚拟资产交易所。MITRE 组织页面中还收录了利用 npm 软件包的软件供应链入侵。
初始入侵
CISA AA20-239A 列出的途径包括：伪装成求职简历附件的鱼叉式钓鱼、水坑攻击、对外暴露应用的漏洞、窃取的合法账号、有业务往来的外部供应商，以及外部远程访问服务。入侵之后，攻击者使用 FASTCash 恶意软件，在支付交换系统中拦截 ISO 8583 授权报文，批准 ATM 取现。
| 技术 ID | 技术 | 战术 |
|---|---|---|
| T1195.001 | Compromise Software Dependencies and Development Tools（入侵软件依赖与开发工具） | 初始访问 |
| T1566.001 | Spearphishing Attachment（鱼叉式钓鱼附件） | 初始访问 |
| T1189 | Drive-by Compromise（路过式攻击） | 初始访问 |
| T1059.001 | PowerShell | 执行 |
| T1543.003 | Windows Service（创建或修改 Windows 服务） | 持久化 |
| T1553.005 | Mark-of-the-Web Bypass（绕过 MotW 标记） | 防御规避 |
| T1070.006 | Timestomp（篡改时间戳） | 防御规避 |
| T1565.002 | Transmitted Data Manipulation（篡改传输中的数据） | 影响 |
| T1657 | Financial Theft（窃取资金） | 影响 |
| T1485 | Data Destruction（数据销毁） | 影响 |
检测时要确认的内容
- 支付交换服务器（包括 AIX、Linux）上新出现的进程和共享库。这类服务器很少变更，白名单方式很合适。
- SWIFT 终端和支付服务器在非工作时间的登录，以及来自异常来源的管理员会话。
- 防火墙策略中是否新增了 443、6443、8443、9443 端口的例外。这是 AA20-239A 中提到的模式，可以直接与变更管理记录对照。
- 开发人员电脑和构建服务器上，npm install 过程中 postinstall 脚本访问外部地址或启动 shell 的情况。
- ISO、IMG、VHD 等磁盘镜像中的文件被执行（绕过 MotW），以及事件日志被清除（安全日志 1102）。
阅读注意事项
组织情报适合作为起点，但直接照搬成检测规则，会漏掉一些东西。
组织名称和边界因厂商而异
MITRE 在这五个组织的页面上都附有说明，大意是朝鲜各组织的定义彼此高度重叠。Andariel 有时被归为 Lazarus 的下属组织，APT38 有时与 BlueNoroff 被视为同一个名字。按技术来做防御准备，比按组织名称更不容易混乱。
我们有意没有收录 IoC
哈希、IP、域名过几周就会变。如有需要，请直接下载上述公告附带的 STIX 文件和 YARA 规则使用。本页主要写的是长期有效的行为模式。
技术列表只选了一部分
每个组织在 ATT&CK 中登记的技术都有几十个。这里只挑了 6 到 10 个，好让从初始访问到影响的流程一目了然。完整列表可以在 MITRE 组织页面以 ATT&CK Navigator 图层的形式下载。
没有日志，检测项也就没有意义
我们检查时经常发现，Sysmon 只装在部分服务器上，或者 PowerShell 脚本块日志（4104）是关着的。在看上面各项之前，请先确认相应的日志确实在采集。
参考资料
以下资料均于 2026-11-07 访问核对。
- Lazarus Group, G0032，MITRE ATT&CK
- Kimsuky, G0094，MITRE ATT&CK
- APT37, G0067，MITRE ATT&CK
- Andariel, G0138，MITRE ATT&CK
- APT38, G0082，MITRE ATT&CK
- TraderTraitor: North Korean State-Sponsored APT Targets Blockchain Companies (AA22-108A)，FBI · CISA · 美国财政部，2022.4
- UK and Republic of Korea issue warning about DPRK state-linked cyber actors attacking software supply chains，英国 NCSC · 韩国国家情报院，2023.11
- North Korean Advanced Persistent Threat Focus: Kimsuky (AA20-301A)，CISA · FBI · CNMF，2020.10
- North Korea Using Social Engineering to Enable Hacking of Think Tanks, Academia, and Media，韩国国家情报院 · 韩国警察厅 · 韩国外交部 · FBI · 美国国务院 · NSA，2023.6
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts，FBI 等，2024.5
- APT37 (Reaper): The Overlooked North Korean Actor，FireEye，2018
- North Korean APT InkySquid Infects Victims Using Browser Exploits，Volexity，2021.8
- North Korea Cyber Group Conducts Global Espionage Campaign to Advance Regime's Military and Nuclear Programs (AA24-207A)，FBI · CISA · NSA · 韩国国家情报院 · 韩国警察厅等，2024.7
- FASTCash 2.0: North Korea's BeagleBoyz Robbing Banks (AA20-239A)，CISA · 美国财政部 · FBI · USCYBERCOM，2020.8
- APT38: Un-usual Suspects，FireEye，2018