俄罗斯APT组织Gamaredon和朝鲜Lazarus疑似存在网络资产共用情况
Gamaredon 是自 2013 年起活跃的俄高级持续性威胁（APT）组织图1，核心聚焦网络间谍活动，相关报告可见乌克兰披露俄罗斯APT组织人员信息与通话录音
Lazarus 是 2009 年起活跃的朝鲜全方面威胁行为体图2，初期以网络间谍活动和破坏性攻击为主，后转向经济利益导向攻击以筹措资金。
Gamaredon 以窃密为业，Lazarus 则专事窃取，二者最终均服务于各自政府的战略利益。
就在莫斯科与平壤宣布开通新直飞航线的次日，安全团队发现了 Gamaredon 与 Lazarus 两大 APT 组织可能存在协作的迹象。
2025 年 7 月 24 日，团队通过已知 Telegram（电报）和 Telegraph（电报文稿平台）渠道追踪 Gamaredon 命令与控制（C2）服务器的系统，成功拦截了一个 IP 地址：
144[.]172[.]112[.]106
四天后，在例行检查中，团队发现该服务器正托管着一个经过混淆处理的 “InvisibleFerret” 恶意软件样本（SHA256 哈希值：128da948f7c3a6c052e782acfee503383bf05d953f3db5c603e4d386e2cf4b4d）—— 这款恶意软件正是 Lazarus 组织的标志性工具。
该载荷与 Lazarus 的工具集完全匹配，且通过与 “ContagiousInterview” 行动相同的服务器结构（URL 地址：http[://]144[.]172[.]112[.]106/payload/99/81）进行分发。而 “ContagiousInterview” 正是 Lazarus 此前针对求职者发起的钓鱼攻击行动，通过伪造招聘信息实施入侵。
尽管该 IP 地址有可能是代理服务器或 VPN 节点，但两大组织活动的时间关联性，再加上服务器托管模式的高度重合，表明他们存在基础设施复用的极大可能，且有中等置信度显示二者存在运营层面的协作。
目前尚不清楚是 Lazarus 借用了 Gamaredon 控制的服务器，还是双方共用同一客户实例，但这一高度重合的数字足迹，显然绝非偶然。
图3为其他APT组织合作情况
报告链接：
https://www.gendigital.com/blog/insights/research/apt-cyber-alliances-2025