Forhåndsvisning
Lazarus: Nordkoreas Spøgelseshær, Der Stjæler Milliarder
Forestil dig et land, hvor 25 millioner mennesker aldrig har set internettet. Lyder det som noget fra en science fiction-film? Det er virkelighed. Og lige præcis dér opererer omkring 8.000 hackere. De aner ikke, hvad YouTube er, har aldrig åbnet Google, men i løbet af de sidste 10 år har de formået at stjæle mere end 7 milliarder dollars. Det er en sum, der overstiger BNP'en i visse nationer. Og hver stjålet cent bliver, i bund og grund, til en atommissil. Mit navn er Mister Darkweb, og i dag vil jeg fortælle dig om Lazarus – en sand hacker-hær, der lige nu kan være inde i din pung.
En Tilfældig Opdagelse og et Bekymrende Tegn
Denne historie startede helt tilfældigt for mig sidst i 2024. Jeg rodede i datalæk fra et af de store skyggefora, hvor jeg samlede information om finansielle ordninger i Sydøstasien. Rutine, intet særligt. Men blandt dusinvis af filer faldt jeg over en, jeg i første omgang ikke lagde mærke til. Det var et lille tekst-dokument, skrevet på gebrokkent engelsk, uden overskrift eller signatur. Indeni – en liste over tegnebøger, datoer, overførselssummer og helt til sidst en note, der kan oversættes cirka således: "Rør aldrig disse adresser. Det er ikke mennesker, det er staten." Jeg forstod det ikke dengang. Tænkte, det var nogens paranoia eller en joke. Gemte filen og glemte den. Men to måneder senere, i februar 2025, skete der noget, der fik den sætning til at holde op med at lyde som en joke. Fra verdens største kryptobørs forsvandt 155 milliarder dollars natten over. Uden password-hacks, uden phishing, uden en eneste fejl fra offerets side. Og da FBI nævnte de skyldige – Lazarus Group – huskede jeg den fil. Jeg åbnede den og sammenlignede adresserne med dem, som FBI havde offentliggjort. Fire ud af de enoghalvtreds matchede. Fra det øjeblik begyndte jeg at grave, og jo dybere jeg kom, jo mere skræmmende blev billedet. Lazarus er ikke bare en hacker-gruppe i traditionel forstand. Det er ikke en gruppe entusiaster i hættetrøjer, der sidder i en kælder, og heller ikke anonyme fra en chat, der har besluttet sig for at tjene penge. Det er et helt lands cyberforsvar – Nordkoreas. Den mest lukkede nation på kloden, som officielt benægter deres eksistens, men samtidig bygger hele sin missil-program på deres arbejde. Det amerikanske justitsministerium kalder Lazarus for et værktøj til at underminere global cybersikkerhed og generere ulovlig indkomst i strid med internationale sanktioner. Bag denne tørre formulering gemmer sig en virkelighed, der får det til at løbe koldt ned ad ryggen. Lazarus står bag angrebet på Sony Pictures i 2014, bag røveriet mod Banglads centrale bank i 2016, bag WannaCry-virussen, der i 2017 lammede hospitaler i 150 lande, og bag dusinvis af krypto-tyverier, hvis samlede beløb overstiger 7 milliarder dollars. Jeg brugte flere måneder på denne undersøgelse, gennemgik hundredvis af dokumenter: anklageskrifter fra Justitsministeriet, FBI-rapporter, analyser fra blockchain-firmaerne Chainalysis og Elliptic, vidnesbyrd fra afhoppere fra Nordkorea, materialer fra FN's ekspertgruppe, samt lukkede tråde på skyggefora. Og jo mere jeg læste, jo klarere blev det for mig: det, Lazarus gør, er uden sidestykke. Historien har aldrig set noget lignende. Ingen nation i verden har nogensinde bygget sin økonomi på hackerangreb. Men Nordkorea har gjort det. Dette er en historie om statsterrorisme, forklædt som cyberkriminalitet. Om et land, der har forvandlet sine bedste matematikere til tyve. Om mennesker, der udvælges i skolen, trænes som specialstyrker, sendes ud af landet, og som stjæler milliarder uden at måtte beholde en eneste øre. Og jeg vil
Det Største Røveri i Kryptovalutaernes Historie: BYBIT-hacket
februar 2025, fredag. Dubai. Kontoret hos BYBIT – en af verdens største kryptovalutabørser. En almindelig arbejdsdag. Rutinemæssig operation: overførsel af midler fra en kold tegnebog til en varm. En procedure, som medarbejderne havde udført dusinvis af gange. Tre signaturer ud af flere bekræftelser. Alt efter protokollen. På skærmen – standardinterfacet for Safe Wallet, en multi-signatur platform, som tusindvis af virksomheder bruger verden over. Beløbet, modtageradressen, bekræftelsesknappen. CEO Ben Zhou kiggede på skærmen. Alt så perfekt ud. Han trykkede 'Bekræft'. Yderligere to medarbejdere gjorde det samme. Efter 40 minutter var 401.347 Ethereum-enheder, næsten halvanden milliard dollars, forsvundet. Ikke til den rigtige adresse, ikke til den rigtige tegnebog, ikke til det rigtige land. Det er vigtigt at forstå: Ingen begik en fejl. Systemet fejlede ikke. Adgangskoder blev ikke stjålet. Medarbejderne klikkede ikke på et phishing-link. De gjorde præcis, hvad de skulle gøre. Og det var præcis, hvad dem på den anden side af skærmen havde regnet med. Hvad skete der så? Et par dage før angrebet havde hackere kompromitteret computeren hos en af udviklerne af Safe Wallet – ikke BYBIT, men selve platformen, som bekræftelsen gik igennem. De brød ikke forsvaret direkte, de gættede ikke adgangskoder, de søgte ikke efter sårbarheder i koden. De trængte ind gennem et menneske. Social engineering: et opkald, en e-mail, en invitation til en konference eller et falsk jobinterview. Den præcise metode er stadig hemmelig, men ifølge Safe Ecosystem Foundation skete kompromitteringen via udviklerens arbejdsstation. Efter at have fået adgang til hans maskine, stjal hackere sessions-tokens – midlertidige nøgler, der tillader login til virksomhedens cloud-tjeneste uden gentagen indtastning af adgangskode. Således omgik de to-faktor-autentificering. De beregnede tidspunktet, arbejdede i samme timer som udvikleren for ikke at vække mistanke hos overvågningssystemerne. Og så, den 19. februar, 2 dage før angrebet, erstattede de én enkelt fil – et fragment af JavaScript-kode, der var ansvarlig for visning af transaktioner. Denne fil kom ind på serveren via Safe Wallets officielle domæne. Den fungerede perfekt for alle brugere, undtagen én. Undtagen BYBIT. Halvanden milliard, og ingen bemærkede det under overførslen? Lyder som et dårligt plot, men det er præcis sådan, det fungerer. Når man er vant til at trykke 'Bekræft' hver dag, og alt altid forløber normalt, tjekker man ikke hver pixel på skærmen. Det er ikke skødesløshed, det er tillid til et system, som tusindvis af virksomheder bruger. Og Lazarus hackede ikke systemet, de hackede denne tillid. Den erstattede kode viste BYBIT's medarbejdere én ting, men sendte noget helt andet. Deres signaturer på hardware-tegnebøger blev til, hvad sikkerhedseksperter senere kaldte 'blind signering'. De bekræftede en transaktion, de ikke havde set. 10 timer efter hacket indgav 350.000 BYBIT-brugere anmodninger om udbetaling. Panik.
Finansiering af Missilprogrammet: Penge fra Cyberspace
Ifølge estimater fra en FN-ekspertgruppe, der blev opløst i 2024, stammer op til 40% af finansieringen til Nordkoreas atom- og missilprogrammer fra krypto-tyverier. 40% – ikke fra kulhandel, ikke fra våbensalg, ikke fra allieredes hjælp, men fra stjålet kryptovaluta. Dette er ikke en journalistisk hypotese. Det er en konklusion fra en international kommission, der arbejdede under mandat fra Sikkerhedsrådet. De stjålne halvanden milliard fra BYBIT er ikke en forbrydelse for profit. Det er en post i et statsligt budget, der officielt ikke eksisterer. Alene i 2025 stjal hackere, der er forbundet med Nordkorea, ifølge analyseplatformen Chainalysis, mere end 2 milliarder dollars, en stigning på 51% i forhold til året før. Samlet fra 2019 til udgangen af 2025 – 6,75 milliarder. Det er 76% af alle kryptovaluta-tyverier i verden. Tre fjerdedele – ét land, én operatør. Analysefirmaet Elliptic, der undersøgte hacket, formulerede det således: "Lazarus Group er ikke en statsstøttet gruppe i traditionel forstand. Lazarus er Nordkorea, og Nordkorea er Lazarus. Der er ingen grænse mellem hackere og regimet, intet gab. Det er en enkelt organisme." Og her begynder den mørkeste del af denne historie. For at forstå, hvordan en gruppe fra et af de fattigste og mest isolerede lande i verden lærte at stjæle milliarder, må vi vende tilbage 20 år, til et sted, næsten ingen kender. Et sted, hvor børn udvælges i skolen. Ikke for sportslige præstationer, ikke for musikalsk talent, men for deres evne til at løse matematiske problemer hurtigere end alle andre. Og hvor disse børn bliver til soldater, der aldrig vil holde et våben, men forvolde mere skade end nogen hær.
Fødslen af Cyberhæren: Fra Kim Il-sung til Bureau 121
I 1996 besøgte Kim Jong-il, daværende leder af Nordkorea, militæret ved frontlinjen. Ifølge vidnesbyrd bevaret i sydkoreanske efterretningsrapporter, sagde han en sætning, der definerede de næste 30 års historie for hans land: "Alle fremtidens krige vil være computerkrige." 1996. Internettet eksisterede knap nok. De fleste mennesker på planeten vidste ikke, hvad e-mail var, og manden, der styrede et af verdens fattigste lande, havde allerede indset, at et tastatur var farligere end en kampvogn. Senere, i 2000'erne, formulerede han det endnu skarpere. Ifølge forskere fra organisationen C4ADS, der henviser til sydkoreanske efterretningsmaterialer, udtalte Kim Jong-il, at cyberangreb var som atombomber. "Krigen vindes af den, der i fredstid opnår større adgang til fjendens militærtekniske information." Han mente det alvorligt, han byggede en hær. I 1998 blev Bureau 121 oprettet – en cyberkrigsafdeling inden for General Intelligence Bureau (GIR). Det er ikke en analog til en eller anden IT-afdeling. Det er en fuldgyldig militær struktur, der er underlagt Third Technical Bureau of Surveillance – det centrale organ, der er ansvarlig for alle Nordkoreas cyberoperationer. Ifølge tidlige skøn arbejdede omkring 1.800 specialister i Bureau 121. I 2014 øgede Sydkoreas NIS-agentur dette tal til 5.900. Nu, ifølge Wall Street Journal, er der tale om 8.000 fastansatte hackere, organiseret i militære enheder. Men hvor kommer hackere fra i et land uden internet? Svaret er enkelt og skræmmende på samme tid. De dyrkes fra barnsben. Over hele Nordkorea fungerer et udvælgelsessystem, opbygget i 90'erne. I mellemliggende og gymnasier for begavede elever er der installeret computere. Ifølge afhoppere var det for nylig maskiner på niveau med Pentium 4. Lærere overvåger børn med fremragende matematiske evner. De bedste sendes til specialiserede universiteter. Hoveduniversitetet er Mirim College, også kendt som Pyongyang University of Automation. Hvert år uddanner det omkring 100 hackere. Jang Se-yul, en afhopper, der studerede i Mirim og senere flygtede til Sydkorea, fortalte, hvordan uddannelsen foregik: seks lektioner á 90 minutter hver dag. Programmeringssprog fra C til assembler, operativsystemer som Linux og Windows. En enorm mængde tid blev brugt på at analysere Microsoft Windows' arkitektur: hvordan den fungerer, hvor sårbarhederne er, hvordan man bryder ind i den. Fem års forberedelse, uden fridage i traditionel forstand, uden gratis internet, kun studier og praksis. Ved siden af Mirim ligger Kim Il-sung Universitet, Kim Chaek Universitet for Teknologi og Moranbong Universitet. Hertil sendes de mest talentfulde. Kim Heung-kwang, en tidligere professor i datalogi, der underviste i 19 år på universiteter i Hamhung og forberedte fremtidige cyberkrigere, fortalte efter sin flugt til Sydkorea, at hans bedste studerende tog på praktikophold i Kina, især i byen Shenyang, hvor et stråmandsselskab kaldet Chosen Expo Joint Venture opererede. Et dække, hvorigennem agenter
Angrebet på Sony Pictures: Hævn for en Komedie
Morgenen den 24. november 2014 blev for evigt indprentet i hukommelsen hos medarbejderne hos Sony Pictures Entertainment. Folk kom på arbejde og opdagede, at deres computere var døde. På skærmene – et billede af et rødt kranie og en tekst fra en gruppe, der kaldte sig Guardians of Peace ("Fredens Vogtere"). Teksten var enkel: "Vi har taget alt. Hvis I ikke opfylder vores krav, vil vi offentliggøre det." Det var ikke en overdrivelse. Hackere havde været inde i Sony's netværk i mindst 2 måneder, ifølge nogle kilder op til et år. I løbet af denne tid kopierede de over 100 TB data: interne e-mails fra ledelsen, finansielle dokumenter, personlige data om medarbejdere (socialsikringsnumre, medicinske journaler, lønninger), film, der endnu ikke var udgivet, manuskripter til fremtidige projekter. Og derefter aktiverede de et skadeligt program, der ødelagde omkring 70% af virksomhedens serverinfrastruktur. Harddiske blev overskrevet, boot-sektorer slettet, computere blev til "mursten". årsagen: en komedie. Filmen "The Interview" med Seth Rogen og James Franco. En satire, hvor to journalister bliver rekrutteret af CIA til at dræbe Kim Jong-un. En film, som sandsynligvis ingen ville have husket efter et halvt år, hvis det ikke var for Lazarus. "Fredens Vogtere" krævede, at Sony aflyste premieren, og begyndte derefter at true med terrorhandlinger i biografer, der ville vise filmen. De største amerikanske biografer nægtede at vise den. Sony aflyste først premieren, derefter, under pres fra offentligheden, udgav de alligevel filmen i begrænset oplag og online. Den 19. december 2014 erklærede FBI officielt: "Nordkorea står bag angrebet." Præsident Obama holdt en offentlig tale, hvor han kaldte hacket "ikke en krigshandling, men et alvorligt slag mod den nationale sikkerhed." USA indførte yderligere sanktioner. Og jeg, da jeg studerede denne sag, tænkte på dette: et land angreb en privat virksomhed på grund af en komedie. Ikke på grund af efterretninger, ikke på grund af militære hemmeligheder, men på grund af en joke. Og forvoldte skade, som Sony anslog til 15 millioner dollars alene i første kvartal, uden at medregne omdømmemæssige tab og retssager fra medarbejdere, hvis data blev lækket. Men det mest sigende er, at Lazarus brugte dette hack som en træningsøvelse: afprøvede metoder, testede infrastruktur, studerede reaktionen. For det næste mål var af en helt anden kaliber. Ikke et underholdningsfirma, men en centralbank.