Lazarus針對西班牙一家航空航天公司展開攻擊活動，該組織在該公司部署了多種工具，其中最引人注目的是一個未公開記錄的后門LightlessCan。Lazarus去年在一次成功的魚叉式網絡釣魚活動后，偽裝成 Meta（Facebook、Instagram 和 WhatsApp 背后的公司）的招聘人員，獲得了對該公司網絡的初步訪問權限。假冒招聘人員通過 LinkedIn Messaging（LinkedIn 專業社交網絡平臺中的一項功能）聯系受害者，并發送了招聘流程所需的兩個編碼挑戰，受害者在公司設備上下載并執行了這些挑戰。第一個挑戰是一個非?；镜捻椖?，顯示文本“Hello，World！”，第二個挑戰打印斐波那契數列——一系列數字，其中每個數字都是前兩個數字的總和。

Lazarus組織疑似通過Skype發送誘餌文件下載鏈接，之后用戶通過谷歌瀏覽器下載了含有惡意文檔的壓縮文件。一旦用戶被誘導打開該文件，攻擊者則利用偽裝成Microsoft信息的技巧，誘使用戶啟用宏功能。一旦用戶上鉤，宏將被激活并釋放EarlyRat，然后開始竊取用戶信息和執行惡意命令。

從2023年4月上旬起，研究人員開始跟蹤Lazarus組織的一項有很強針對性的攻擊活動。該活動主要針對區塊鏈和加密貨幣領域的公司，利用社會工程和惡意npm包依賴項的結合來滲透其軟件供應鏈。這是首次發現民族國家行為體利用開源滲透供應鏈的實例。攻擊利用社會工程作為切入點，利用虛假的開發人員聲譽來欺騙受害者使用惡意開源軟件包。惡意代碼被分成兩個不同的包以避免檢測，此外還觀察到攻擊者隨著時間的推移通過編碼技術改進其有效負載以避免靜態檢測。

8 月初，研究人員發現了一個惡意供應鏈活動，將其稱為“VMConnect”。該活動包括發布到 Python 包索引 (PyPI) 開源存儲庫的兩打惡意 Python 包。這些軟件包模仿了流行的開源Python工具，包括vConnector ，這是一個用于pyVmomi VMware vSphere綁定的包裝模塊；eth-tester，用于測試基于以太坊的應用程序的工具集合；和數據庫，一種為一系列數據庫提供異步支持的工具。 研究人員繼續監控 PyPI，現在又發現了另外三個惡意 Python 包，它們被認為是 VMConnect 活動的延續：tablediter、request-plus和requestspro。

美國聯邦調查局 (FBI) 警告加密貨幣公司，近期區塊鏈活動涉及數億美元的加密貨幣被盜事件。8月21日-22日，FBI 追蹤到Lazarus組織竊取的加密貨幣，認為朝鮮可能試圖兌現價值超過 4000 萬美元的比特幣。調查發現，與Lazarus相關的參與攻擊者從幾起加密貨幣搶劫案中轉移了約 1580 枚比特幣。

Lazarus組織針對歐洲和美國的互聯網基礎設施和醫療保健實體發起攻擊。在此活動中，攻擊者在該漏洞的 PoC 公開披露五天后開始利用 ManageEngine ServiceDesk 漏洞 ( CVE-2022-47966 )。攻擊活動始于今年年初，主要針對歐洲和美國的關鍵基礎設施組織和醫療保健機構，旨在分發惡意軟件QuiteRAT和CollectionRAT。QuiteRAT 具有許多與 Lazarus 組織的 MagicRAT 惡意軟件相同的功能，但其文件大小要小得多。CollectionRAT 具有標準遠程訪問木馬 (RAT) 功能，包括在受感染系統上運行任意命令的能力。CollectionRAT似乎與Andariel的EarlyRAT有關，Andariel被認為是Lazarus的一個子機構。這兩個植入程序均基于 Qt 框架構建，并包含任意命令執行等功能。

Lazarus組織攻擊了Windows互聯網信息服務（IIS）Web服務器，并將其用作惡意代碼分發服務器。該組織使用水坑技術作為初始滲透方法。當使用易受攻擊版本的 INISAFE CrossWeb EX V6 系統通過網絡瀏覽器訪問Lazarus組織控制的站點時，會利用 INISAFECrossWebEXSvc.exe 的漏洞從惡意代碼分發站點安裝惡意軟件 (SCSKAppLink.dll)。

Andariel組織是Lazarus組織的一個分支，在活動中部署DTrack惡意軟件和Maui勒索軟件。最近，研究人員發現了Andariel組織的一次攻擊活動，揭示了一個新的惡意軟件家族——EarlyRat。EarlyRat是一種遠程訪問木馬(RAT)，可以通過Log4j漏洞或釣魚文檔下載到目標機器上，然后收集系統信息并發送給控制服務器。EarlyRat的功能比較簡單，主要是執行命令。EarlyRat與Lazarus組織之前使用過的MagicRat有一些高層次的相似性，比如都使用了框架(QT和PureBasic)并且功能都比較有限。此外，研究人員還發現了Andariel組織在執行命令時的一些錯誤和拼寫錯誤，表明操作者可能缺乏經驗。

在監控 Lazarus 威脅組織的活動時，研究人員發現，除了之前針對的 INISAFE CrossWeb EX 和 MagicLine4NX 之外，Lazarus組織在攻擊中也利用了VestCert 和 TCO!Stream 的零日漏洞。VestCert是Yettiesoft使用非ActiveX方法開發的網絡安全軟件，而TCO!Stream是MLsoft制作的公司資產管理程序。這兩種解決方案都被韓國企業廣泛使用。

近期，研究人員捕獲到Lazarus組織利用偽造的ComcastVNC惡意軟件發起攻擊。初始樣本是一個壓縮文件，內部包含ISO文件。壓縮文件或者ISO文件更有可能利用社會工程通過社交軟件投遞。ISO內部包含名為“ComcastVNC.exe”的可執行程序，實際上是白文件choice.exe，還包含名為“version.dll”和“portable.dat”文件。當用戶執行“ComcastVNC.exe”后會側加載version.dll。version.dll會讀取portable.dat內容，并使用開源項目sRDI代碼反射加載執行BindingCan惡意軟件。