Lazarus Group è un cluster di minaccia ampiamente monitorato, collegato alla Corea del Nord e associato ad attività di intrusione informatica. I team di sicurezza usano questo nome come etichetta di attribuzione per un insieme di operatori, strumenti e tattiche che possono cambiare nel tempo, anziché come una singola organizzazione fissa. In pratica, il cluster è stato associato a spionaggio, furto, attacchi distruttivi e operazioni che supportano il guadagno finanziario o obiettivi strategici.
È importante perché le campagne collegate a Lazarus spesso combinano malware personalizzato, phishing, furto di credenziali e riutilizzo dell'infrastruttura, il che può rendere più difficile il rilevamento e l'attribuzione. I difensori cercano indicatori sovrapposti come somiglianze nel codice, pattern di comando e controllo, abitudini di registrazione dei domini e comportamento post-exploitation. Quando queste tecniche o questi strumenti compaiono in ransomware o in altre attività criminali, gli analisti li considerano un segnale che tattiche vengono condivise, adattate o riutilizzate tra attori della minaccia.