Lazarus针对西班牙一家航空航天公司展开攻击活动，该组织在该公司部署了多种工具，其中最引人注目的是一个未公开记录的后门LightlessCan。Lazarus去年在一次成功的鱼叉式网络钓鱼活动后，伪装成 Meta（Facebook、Instagram 和 WhatsApp 背后的公司）的招聘人员，获得了对该公司网络的初步访问权限。假冒招聘人员通过 LinkedIn Messaging（LinkedIn 专业社交网络平台中的一项功能）联系受害者，并发送了招聘流程所需的两个编码挑战，受害者在公司设备上下载并执行了这些挑战。第一个挑战是一个非常基本的项目，显示文本“Hello，World！”，第二个挑战打印斐波那契数列——一系列数字，其中每个数字都是前两个数字的总和。

Lazarus组织疑似通过Skype发送诱饵文件下载链接，之后用户通过谷歌浏览器下载了含有恶意文档的压缩文件。一旦用户被诱导打开该文件，攻击者则利用伪装成Microsoft信息的技巧，诱使用户启用宏功能。一旦用户上钩，宏将被激活并释放EarlyRat，然后开始窃取用户信息和执行恶意命令。

从2023年4月上旬起，研究人员开始跟踪Lazarus组织的一项有很强针对性的攻击活动。该活动主要针对区块链和加密货币领域的公司，利用社会工程和恶意npm包依赖项的结合来渗透其软件供应链。这是首次发现民族国家行为体利用开源渗透供应链的实例。攻击利用社会工程作为切入点，利用虚假的开发人员声誉来欺骗受害者使用恶意开源软件包。恶意代码被分成两个不同的包以避免检测，此外还观察到攻击者随着时间的推移通过编码技术改进其有效负载以避免静态检测。

8 月初，研究人员发现了一个恶意供应链活动，将其称为“VMConnect”。该活动包括发布到 Python 包索引 (PyPI) 开源存储库的两打恶意 Python 包。这些软件包模仿了流行的开源Python工具，包括vConnector ，这是一个用于pyVmomi VMware vSphere绑定的包装模块；eth-tester，用于测试基于以太坊的应用程序的工具集合；和数据库，一种为一系列数据库提供异步支持的工具。 研究人员继续监控 PyPI，现在又发现了另外三个恶意 Python 包，它们被认为是 VMConnect 活动的延续：tablediter、request-plus和requestspro。

美国联邦调查局 (FBI) 警告加密货币公司，近期区块链活动涉及数亿美元的加密货币被盗事件。8月21日-22日，FBI 追踪到Lazarus组织窃取的加密货币，认为朝鲜可能试图兑现价值超过 4000 万美元的比特币。调查发现，与Lazarus相关的参与攻击者从几起加密货币抢劫案中转移了约 1580 枚比特币。

Lazarus组织针对欧洲和美国的互联网基础设施和医疗保健实体发起攻击。在此活动中，攻击者在该漏洞的 PoC 公开披露五天后开始利用 ManageEngine ServiceDesk 漏洞 ( CVE-2022-47966 )。攻击活动始于今年年初，主要针对欧洲和美国的关键基础设施组织和医疗保健机构，旨在分发恶意软件QuiteRAT和CollectionRAT。QuiteRAT 具有许多与 Lazarus 组织的 MagicRAT 恶意软件相同的功能，但其文件大小要小得多。CollectionRAT 具有标准远程访问木马 (RAT) 功能，包括在受感染系统上运行任意命令的能力。CollectionRAT似乎与Andariel的EarlyRAT有关，Andariel被认为是Lazarus的一个子机构。这两个植入程序均基于 Qt 框架构建，并包含任意命令执行等功能。

Lazarus组织攻击了Windows互联网信息服务（IIS）Web服务器，并将其用作恶意代码分发服务器。该组织使用水坑技术作为初始渗透方法。当使用易受攻击版本的 INISAFE CrossWeb EX V6 系统通过网络浏览器访问Lazarus组织控制的站点时，会利用 INISAFECrossWebEXSvc.exe 的漏洞从恶意代码分发站点安装恶意软件 (SCSKAppLink.dll)。

Andariel组织是Lazarus组织的一个分支，在活动中部署DTrack恶意软件和Maui勒索软件。最近，研究人员发现了Andariel组织的一次攻击活动，揭示了一个新的恶意软件家族——EarlyRat。EarlyRat是一种远程访问木马(RAT)，可以通过Log4j漏洞或钓鱼文档下载到目标机器上，然后收集系统信息并发送给控制服务器。EarlyRat的功能比较简单，主要是执行命令。EarlyRat与Lazarus组织之前使用过的MagicRat有一些高层次的相似性，比如都使用了框架(QT和PureBasic)并且功能都比较有限。此外，研究人员还发现了Andariel组织在执行命令时的一些错误和拼写错误，表明操作者可能缺乏经验。

在监控 Lazarus 威胁组织的活动时，研究人员发现，除了之前针对的 INISAFE CrossWeb EX 和 MagicLine4NX 之外，Lazarus组织在攻击中也利用了VestCert 和 TCO!Stream 的零日漏洞。VestCert是Yettiesoft使用非ActiveX方法开发的网络安全软件，而TCO!Stream是MLsoft制作的公司资产管理程序。这两种解决方案都被韩国企业广泛使用。

近期，研究人员捕获到Lazarus组织利用伪造的ComcastVNC恶意软件发起攻击。初始样本是一个压缩文件，内部包含ISO文件。压缩文件或者ISO文件更有可能利用社会工程通过社交软件投递。ISO内部包含名为“ComcastVNC.exe”的可执行程序，实际上是白文件choice.exe，还包含名为“version.dll”和“portable.dat”文件。当用户执行“ComcastVNC.exe”后会侧加载version.dll。version.dll会读取portable.dat内容，并使用开源项目sRDI代码反射加载执行BindingCan恶意软件。