Andariel

Andariel—nombrado también como Silent Chollima por CrowdStrike, Onyx Sleet y PLUTONIUM por Microsoft, y ya de paso, catalogado como G0138 en MITRE ATT&CK—es una APT de origen norcoreano activo desde al menos el año 2008/2009. Se considera un subgrupo (sub-set) del cluster de Lazarus Group y ha sido atribuido al Reconnaissance General Bureau de Corea del Norte, específicamente al Bureau 121. En estos casos, cuando los analistas hacemos referencia al "cluster de Lazarus" es principalmente porque las APTs tienden a utilizar recursos compartidos y a formar parte de un mismo "Ministerio", los podríamos conceptualizar casi como funcionarios estándar. Esto hace que ser granular durante la tarea de atribución sea muchas veces una tarea casi imposible. Esta situación ha hecho que algunas empresas simplifiquen este proceso de atribución y directamente indiquen que, si es actividad APT proveniente de Corea del Norte, el responsable es Lazarus.

A diferencia de otros clusters del ecosistema Lazarus, Andariel no se ha focalizado en la obtención de fondos para Corea del Norte sino en espionaje y ataques destructivos contra agencias gubernamentales, organizaciones militares y empresas principalmente surcoreanas. Para no distanciarse de sus grupos hermanos, también ha llevado a cabo operaciones con un componente financiero dirigidas contra bancos y plataformas de intercambio de criptomonedas. El vendor Sekoia, en su análisis del panorama de amenazas de Corea del Norte, señaló que el sector energético es un objetivo siempre visible, constante y de larga duración para Andariel, habiendo documentado campañas contra proveedores de energía en Canadá, Japón y Estados Unidos a lo largo de 2022—como por ejemplo Operation Black Mine, Operation GoldenAxe y Campaign Rifle.

En cuanto a su kill chain (a grandes rasgos), el grupo ha conseguido acceso inicial principalmente a través de campañas de spearphishing, ya fuera mediante documentos adjuntos maliciosos o ataques de tipo watering hole—este tipo de ataque consiste en comprometer un sitio web legítimo al que sabes que acudirán tus potenciales víctimas. Una de sus técnicas distintivas fue el uso de esteganografía, si bien ahora no es tan sorprendente, allá por 2021 Kaspersky documentó cómo Andariel ocultaba código malicioso en archivos BMP y PNG para evadir la detección, convirtiendo imágenes aparentemente inocuas en payloads.

En cuanto a sus ramificaciones, Sekoia identificó una conexión entre Andariel y DEV-0530, el grupo propietario del ransomware H0lyGh0st. Este hecho, de acuerdo con lo mencionado anteriormente, no es en absoluto sorprendente ya que estas organizaciones forman parte de gobiernos y es bastante común que se generen ramas "ad-hoc" para operaciones específicas, como si se tratara de una empresa creando grupos de trabajo para proyectos definidos.

En lo referente a sus herramientas, estas incluyen gh0st RAT, Rifdoor, ExportControl Dropper, Manuscrypt o Tiger RAT entre otros—durante su actividad han usado numerosos RAT de código abierto. Durante finales de 2025 e inicios de 2026 el grupo fue observado utilizando RATs conocidos como "JealousRAT" y "ChellRAT", usados para troyanizar diversos componentes de un software de categoría Enterprise Resource Planning (ERP)—un software que permite a las organizaciones gestionar de forma integrada sus actividades diarias, como contabilidad, compras, proyectos... etc.

Un fun fact para terminar: Andariel es uno de los pocos grupos cuyo nombre proviene de creaciones culturales. De igual manera que Sandworm fue nombrado así por referencias a las novelas de Dune en su primer wiper, Andariel surge de un videojuego: Diablo.