朝鲜Lazarus组织BTC Changer攻击活动

发布时间：2025-11-04 12:54:58 来源：技术快报 作者：应用开发

Group-IB研究人员发现朝鲜黑客组织Lazarus的朝鲜一起加密货币窃取攻击活动——Lazarus BTC Changer。这是组织Lazarus 组织首次使用也JS嗅探器来窃取加密货币。在该攻击活动中，击活Lazarus黑客还使用了与clientToken= 攻击活动相同的朝鲜基础设施。

[[394701]]

2020年2月底，组织Group-IB研究人员发现Lazarus 开始使用一个clientToken= campaign 攻击活动中使用的击活恶意JS 脚本的修改版本。新版本的朝鲜JS 脚本中与原版本中具有相同的名字，但是组织银行卡收集功能被替换成了加密货币窃取器，并开始攻击接受比特币支付的击活公司。Group-IB研究人员将新版本的朝鲜恶意JS 脚本命名为Lazarus BTC Changer。攻击活动将目的组织支付地址替换成了攻击者的比特币地址。

、击活图1: Lazarus BTC Changer部分源代码

为了保存恶意JS 文件，朝鲜攻击者使用被黑的亿华云组织网站luxmodelagency[.]com。还使用了受感染的击活网站中的内部JS 文件来保存恶意JS。

Lazarus BTC Changer攻击活动分析

在分析Lazarus BTC Changer时，研究人员发现了3个被黑的网站，其中2个与clientToken=攻击活动的相同，分别是"Realchems" (https://realchems.com/) 和 "Wongs Jewellers"

(https://www.wongsjewellers.co.uk/)。

Lazarus BTC Changer将传统JS 嗅探器中收集的银行卡信息替换成了黑客所拥有的比特币或以太坊地址。含有比特币和以太坊地址的JS代码如图2所示：

图2: 含有比特币和以太坊地址的Lazarus BTC Changer样本

研究人员从Lazarus BTC Changer样本中提取了攻击者用来接收窃取资金的4个加密货币地址：

Group-IB 分析了与Lazarus控制的与比特币地址相关的交易，发现攻击者可能使用了CoinPayments.net。研究人员对攻击者比特币地址到地址35dnPpcXMGEoWE1gerDoC5xS92SYCQ61y6的现金流分析，发现了3个到CoinPayments.net所有的b2b信息网比特币钱包的交易。CoinPayments.net是一个允许用户进行比特币、以太坊和其他加密货币交易的支付网关。因此，Lazarus 可能使用了CoinPayments.net 来进行加密货币交换和转移到外部加密货币地址。理论上讲，该网站的KYC 规则可以帮助识别攻击背后的个人。

从提取的比特币地址来看，截止目前，攻击者转移了0.89993859 BTC，价值52611万美元。2个用来窃取资金的比特币地址共接收到了43个交易。

从提取的以太坊地址来看，共接收到了29个交易，共获利4.384719 ETH，价值9047美元。

更多技术细节参见：https://www.group-ib.com/blog/btc_changer

本文翻译自：https://www.group-ib.com/blog/btc_changer

相关文章