Forhåndsvisning
Lazarus: Nord-Koreas Spøkelseshær som Stjeler Milliarder
Tenk deg et land der 25 millioner mennesker aldri har sett internett. Høres ut som science fiction, ikke sant? Men dette er virkeligheten i Nord-Korea. Og midt i denne isolasjonen opererer rundt 8000 hackere. De aner ikke hva YouTube er, har aldri åpnet Google, men de har klart å stjele over 7 milliarder dollar de siste ti årene. Det er mer enn noen land har i BNP! Og hver eneste stjålne krone blir i praksis til en atomrakett. Mitt navn er Mr. Darkweb, og i dag skal jeg fortelle deg om Lazarus – en ekte hackerhær som kanskje allerede er på vei inn i din digitale lommebok.
Begynnelsen: En tilfeldig funn og et illevarslende tegn
Hele denne historien startet helt tilfeldig for meg sent i 2024. Jeg satt og gravde i lekkasjer fra et stort, mørkt forum, lette etter informasjon om finansielle svindler i Sørøst-Asia. Ganske rutinemessig. Men midt i havet av filer snublet jeg over et lite dokument som jeg først avfeide. En liten tekstfil, skrevet på gebrokkent engelsk, uten tittel eller avsender. Inni lå en liste med kryptolommebøker, datoer, overføringssummer, og helt på slutten, en merkelig tilleggsmerknad: "Aldri rør disse adressene. Dette er ikke folk, det er staten." Jeg skjønte ingenting der og da. Tenkte det var paranoia eller en dårlig spøk. Lagret filen og glemte den. Men to måneder senere, i februar 2025, skjedde noe som gjorde at den setningen ikke lenger virket som en spøk. Fra verdens største kryptobørs forsvant 155 milliarder dollar over natten. Ingen hacking, ingen phishing, ingen feil fra brukerens side. Da FBI pekte ut gjerningsmennene – Lazarus Group – husket jeg den filen. Åpnet den, sammenlignet adressene med de FBI hadde publisert. Fire av de femtiénne stemte. Fra det øyeblikket begynte jeg å grave dypere, og jo mer jeg fant, jo mer skremmende ble bildet. Lazarus er ikke bare en vanlig hackerbande. Ikke en gjeng nerder i kjellere eller anonyme chat-brukere som vil tjene litt ekstra. Dette er cyber-avdelingen til en hel nasjon – Nord-Korea. Verdens mest lukkede land, som offisielt nekter for at de eksisterer, samtidig som de bygger hele rakettprogrammet sitt på deres arbeid. USAs justisdepartement beskriver Lazarus som et verktøy for å undergrave global cybersikkerhet og generere ulovlig inntekt i strid med internasjonale sanksjoner. Bak denne tørre formuleringen skjuler det seg en virkelighet som gir deg frysninger. Lazarus sto bak angrepet på Sony Pictures i 2014, ranet av sentralbanken i Bangladesh i 2016, WannaCry-viruset som lammet sykehus i 150 land i 2017, og dusinvis av kryptotyverier verdt over 7 milliarder dollar. Jeg brukte flere måneder på denne etterforskningen, bladde gjennom hundrevis av dokumenter: anklager fra justisdepartementet, FBI-rapporter, analyser fra blokkjede-selskaper som Chainalysis og Elliptic, vitnesbyrd fra nordkoreanske avhoppere, rapporter fra FNs ekspertgruppe, og hemmelige tråder på mørke forum. Jo mer jeg leste, jo klarere ble det: Det Lazarus gjør er uten sidestykke. Ingen land i historien har noensinne bygget sin økonomi på hacking. Men Nord-Korea har gjort det. Dette er historien om statlig terrorisme forkledd som cyberkriminalitet. Om et land som har forvandlet sine beste matematikere til tyver. Om mennesker som blir plukket ut på skolen, trent som spesialstyrker, sendt ut av landet, og som stjeler milliarder uten å få beholde en krone selv. Og jeg starter ikke fra begynnelsen, men fra slutten – med det største ranet i kryptohistorien. Fordi det viser hva denne maskinen har blitt, og hvorfor ingen kan stoppe den.
Det Største Ranet i Kryptohistorien: Innebruddet hos BYBIT
februar 2025, fredag. Dubai. Kontoret til BYBIT – en av verdens største kryptobørser. En helt vanlig arbeidsdag. En rutinemessig operasjon: overføring av midler fra en kald lommebok til en varm. En prosedyre de ansatte hadde gjort utallige ganger. Tre signaturer fra flere bekreftelser. Alt fulgte protokollen. På skjermen: standardgrensesnittet til Safe Wallet, en plattform for multi-signatur som tusenvis av selskaper bruker. Summen, mottakeradressen, bekreftelsesknappen. CEO Ben Zhou så på skjermen. Alt så perfekt ut. Han trykket "Bekreft". To andre ansatte gjorde det samme. 40 minutter senere var 401 347 Ethereum-enheter, nesten 1,5 milliarder dollar, borte. Ikke til feil adresse, ikke til feil lommebok, ikke til feil land. Det er viktig å forstå: Ingen gjorde en feil. Systemet sviktet ikke. Passord ble ikke stjålet. Ansatte klikket ikke på en phishing-lenke. De gjorde akkurat det de skulle gjøre. Og det var akkurat det de som satt på den andre siden av skjermen, hadde regnet med. Hva skjedde egentlig? Noen dager før angrepet hadde hackere kompromittert datamaskinen til en av Safe Wallet-utviklerne – ikke BYBIT, men selve plattformen som håndterte bekreftelsen. De brøt ikke sikkerheten direkte, ikke med passordgjettverk, ikke ved å lete etter kodefeil. De kom seg inn gjennom et menneske. Sosial manipulering: en telefonsamtale, en e-post, en invitasjon til en konferanse, et falskt jobbintervju. Den nøyaktige metoden er fortsatt hemmelig, men ifølge Safe Ecosystem Foundation skjedde kompromitteringen via utviklerens arbeidsstasjon. Med tilgang til maskinen hans, stjal hackerne sesjons-tokens – midlertidige nøkler som lar deg logge inn på selskapets skytjeneste uten å skrive inn passordet på nytt. Slik omgått de tofaktorautentisering. De kalkulerte tidspunktet, jobbet i samme timer som utvikleren for ikke å vekke mistanke hos overvåkingssystemene. Og så, 19. februar, to dager før angrepet, byttet de ut én enkelt fil – et stykke JavaScript-kode som var ansvarlig for visning av transaksjoner. Denne filen kom inn på serveren via den offisielle Safe Wallet-domenen. Den fungerte perfekt for alle brukere, unntatt én. Unntatt BYBIT. Virkelig? En og en halv milliard dollar, og ingen la merke til det i øyeblikket transaksjonen skjedde? Høres ut som et dårlig manus, men det er akkurat slik det fungerer. Når du er vant til å trykke "Bekreft" hver dag, og alt alltid går som normalt, sjekker du ikke hver eneste piksel på skjermen. Det er ikke uaktsomhet, det er tillit til systemet som tusenvis av selskaper bruker. Og Lazarus brøt ikke systemet, de brøt denne tilliten. Den utskiftede koden viste BYBIT-ansatte én ting, men sendte noe helt annet. Deres signaturer på maskinvarelommebøkene ble til det sikkerhetseksperter senere kalte "blind signatur". De bekreftet en transaksjon de ikke så. Ti timer etter innbruddet sendte 350 000 BYBIT-brukere inn forespørsler om å ta ut penger. Panikk. Børsen vaklet. Ethereum-prisen falt. Markedet frøs, mens de stjålne pengene
Finansiering av Rakettprogrammet: Penger fra Cyberspace
Ifølge estimater fra en FNs ekspertgruppe som ble oppløst i 2024, kommer opptil 40% av Nord-Koreas atom- og rakettprogramfinansiering fra kyberkriminalitet. 40% – ikke fra kullhandel, ikke fra våpensalg, ikke fra alliert bistand, men fra stjålet kryptovaluta. Dette er ikke en journalistisk hypotese. Det er en konklusjon fra en internasjonal kommisjon som jobbet under mandat fra Sikkerhetsrådet. De stjålne 1,5 milliarder dollarene fra BYBIT er ikke en forbrytelse for profitt. Det er en post i et statsbudsjett som offisielt ikke eksisterer. Bare i 2025 stjal hackere knyttet til Nord-Korea over 2 milliarder dollar, ifølge analyseplattformen Chainalysis – en økning på 51% fra året før. Totalt fra 2019 til slutten av 2025 – 6,75 milliarder dollar. Det er 76% av alle kryptotyverier i verden. Tre fjerdedeler – ett land, én aktør. Analysefirmaet Elliptic, som etterforsket innbruddet, formulerte det slik: "Lazarus Group er ikke en statlig sponset gruppe i vanlig forstand. Lazarus er Nord-Korea, og Nord-Korea er Lazarus. Det er ingen grense mellom hackerne og regimet, ingen avstand. Det er en enkelt organisme." Og her begynner den mørkeste delen av denne historien. For å forstå hvordan en gruppe fra et av verdens fattigste og mest isolerte land lærte å stjele milliarder, må vi dra 20 år tilbake, til et sted nesten ingen kjenner. Et sted der barn blir plukket ut på skolen. Ikke for sportslige prestasjoner, ikke for musikalsk talent, men for deres evne til å løse matematiske problemer raskere enn alle andre. Og der disse barna blir gjort til soldater som aldri vil løfte et våpen, men som vil forårsake mer skade enn noen hær.
Fødselen av Cyber-hæren: Fra Kim Il-sung til Byrå 121
I 1996 besøkte Kim Jong-il, daværende leder av Nord-Korea, militære frontlinjer. Ifølge vitnesbyrd i sørkoreanske etterretningsrapporter, skal han ha sagt en setning som formet de neste 30 årene av landets historie: "Alle fremtidige kriger vil være datakrig". 1996. Internett eksisterte knapt. De fleste i verden visste ikke hva e-post var, men mannen som styrte et av verdens fattigste land, hadde allerede forstått at et tastatur var farligere enn en stridsvogn. Senere, på 2000-tallet, uttrykte han seg enda sterkere. Ifølge forskere fra organisasjonen C4ADS, som siterer sørkoreansk etterretning, uttalte Kim Jong-il at cyberangrep var som atombomber. "Krig vinnes av den som i fredstid får mest tilgang til fiendens militær-tekniske informasjon." Han tullet ikke, han bygde en hær. I 1998 ble Byrå 121 opprettet – en cyberkrigføringsenhet innenfor General Intelligence Bureau (GIR). Dette er ikke en slags IT-avdeling. Det er en fullverdig militær struktur, underlagt Third Technical Bureau of Surveillance – Nord-Koreas hovedorgan for all cybervirksomhet. Tidlige anslag plasserte rundt 1800 spesialister i Byrå 121. I 2014 økte Sør-Koreas NIS-byrå dette tallet til 5900. Nå, ifølge Wall Street Journal, snakker vi om 8000 fast ansatte hackere, organisert i militære enheter. Men hvor kommer hackere fra i et land uten internett? Svaret er enkelt og skremmende. De blir dyrket fra barndommen. Over hele Nord-Korea finnes et rekrutteringssystem bygget på 90-tallet. I middelskoler og videregående skoler for begavede barn er det installert datamaskiner. Ifølge avhoppere var dette nylig maskiner på nivå med Pentium 4. Lærere overvåker barn med eksepsjonelle matematiske evner. De beste sendes til spesialiserte universiteter. Hovedinstitusjonen er Mirim College, også kjent som Pyongyang Automation University. Hvert år uteksaminerer det rundt 100 hackere. Chang Se-yul, en avhopper som studerte ved Mirim og senere flyktet til Sør-Korea, fortalte hvordan studieprosessen så ut: seks forelesninger à 90 minutter hver dag. Programmeringsspråk fra C til assembler, operativsystemer som Linux og Windows. Enormt mye tid ble brukt på å analysere arkitekturen til Microsoft Windows: hvordan det fungerer, hvor sårbarhetene er, hvordan man bryter seg inn. Fem års forberedelse, uten helger slik vi kjenner dem, uten fritt internett, bare studier og praksis. Ved siden av Mirim finnes Kim Il-sung University, Kim Chaek University of Technology og Moranbong University. Dit sendes de aller mest talentfulle. Kim Heung-gwang, en tidligere professor i informatikk som underviste i 19 år ved universiteter i Hamhung og trente fremtidige cyberkrigere, fortalte etter at han flyktet til Sør-Korea, at hans beste studenter dro på praksis i Kina, spesielt til byen Shenyang, hvor et frontfirma kalt Chosen Expo Joint Venture opererte. Et skalkeskjul som agentene brukte til cyberoperasjoner. Det var fra dette firmaet FBI senere hentet navnet til Pak Jin-hyok, den første Lazarus-hackeren som ble tiltalt. Men
Angrepet på Sony Pictures: Hevn for en Komedie
Morgenen 24. november 2014 vil for alltid være etset inn i minnet til ansatte i Sony Pictures Entertainment. Folk kom på jobb og oppdaget at datamaskinene deres var døde. På skjermene: et bilde av et rødt hodeskalle og en melding fra en gruppe som kalte seg Guardians of Peace ("Fredens Voktere"). Teksten var enkel: "Vi har tatt alt. Hvis dere ikke oppfyller kravene våre, publiserer vi det". Dette var ingen overdrivelse. Hackerne hadde vært inne i Sony-nettverket i minst to måneder, ifølge noen kilder opptil et år. I løpet av denne tiden kopierte de over 100 TB med data: interne e-poster fra ledelsen, finansdokumenter, personopplysninger om ansatte (sosialnummer, medisinske journaler, lønninger), filmer som ennå ikke var lansert, manus til fremtidige prosjekter. Deretter aktiverte de et skadevareprogram som ødela rundt 70% av selskapets serverinfrastruktur. Harddiskene ble overskrevet, oppstartsdata slettet, datamaskinene ble "murstein". årsaken: en komedie. Filmen "The Interview" med Seth Rogen og James Franco. En satire der to journalister blir rekruttert av CIA for å drepe Kim Jong-un. En film som neppe ville blitt husket et halvt år senere, hvis det ikke var for Lazarus. "Fredens Voktere" krevde at Sony kansellerte premieren, og begynte deretter å true med terrorangrep mot kinoer som viste filmen. De største amerikanske kjedene nektet å vise den. Sony kansellerte først premieren, deretter, under press fra offentligheten, lanserte de likevel filmen i begrenset opplag og på nett. 19. desember 2014 uttalte FBI offisielt: "Nord-Korea står bak angrepet". President Obama holdt en offentlig tale, og kalte innbruddet "ikke en krigshandling, men et alvorlig slag mot nasjonal sikkerhet". USA innførte ytterligere sanksjoner. Og jeg, da jeg studerte denne saken, tenkte på dette: En stat angrep et privat selskap på grunn av en komedie. Ikke på grunn av etterretning, ikke på grunn av militære hemmeligheter, men på grunn av en vits. Og forårsaket skade som Sony estimerte til 15 millioner dollar bare i første kvartal, uten å regne med omdømmetap og søksmål fra ansatte hvis data ble lekket. Men det mest talende er at Lazarus brukte dette innbruddet som en øvelse: de testet metoder, sjekket infrastruktur, studerte reaksjoner. Fordi neste mål var av en helt annen kaliber. Ikke et underholdningsselskap, men en sentralbank.