Lazarus passe affilié : le pivot RaaS de la Corée du Nord avec Medusa Ransomware

Quand les États rejoignent le programme d’affiliation

Pendant des années, la frontière entre les opérations cyber étatiques et les ransomwares criminels était floue mais directionnelle : les acteurs étatiques développaient des outils sur mesure, les criminels les louaient. Ce modèle s’est désormais inversé.

Symantec et Carbon Black ont découvert des preuves en février 2026 que le groupe Lazarus de Corée du Nord — l’une des opérations de piratage étatiques les plus capables et les mieux dotées au monde — a commencé à déployer Medusa ransomware en tant qu’affilié. Pas en tant que développeur. Pas en tant qu’opérateur d’outils construits sur mesure. En tant que client d’une plateforme de ransomware-as-a-service (RaaS) existante.

Le gang Medusa ransomware a d’abord émergé en juin 2021 comme une opération fermée, est monté en puissance début 2023, et s’est depuis élargi vers un modèle RaaS plus ouvert permettant aux affiliés de déployer le malware en échange d’une part des rançons perçues. À ce jour, Medusa a revendiqué plus de 366 victimes dans de multiples secteurs.

Symantec a estimé que l’activité Medusa observée était « indéniablement » l’œuvre de Lazarus, sur la base de la présence de Comebacker — une porte dérobée et un chargeur sur mesure exclusivement associés au groupe — ainsi que d’autres outils liés à Lazarus. L’attribution est solide au niveau du groupe, bien qu’une incertitude subsiste quant au sous-groupe précis de Lazarus menant les opérations.

Pourquoi adopter le ransomware d’un autre ?

La logique stratégique est simple. Comme l’a résumé un chercheur : « Pourquoi se donner la peine de développer votre propre charge de ransomware quand vous pouvez utiliser une menace éprouvée comme Medusa ou Qilin ? Ils ont peut-être décidé que les avantages l’emportaient sur les coûts en termes de frais d’affiliation. »

Pour Lazarus, les avantages de ce pivot comprennent :

Le déni plausible. Quand une victime découvre Medusa ransomware dans son environnement, la première hypothèse est criminelle — pas étatique. L’attribution devient plus difficile quand le ransomware lui-même est utilisé par des dizaines d’affiliés dans le monde.

L’efficacité opérationnelle. L’infrastructure de Medusa — portails de paiement, sites de fuite, canaux de négociation — est déjà construite, testée et opérationnelle. Lazarus évite les coûts de développement et de maintenance d’outils de ransomware sur mesure.

La génération de revenus. La Corée du Nord utilise depuis longtemps la cybercriminalité pour financer ses programmes d’armement, avec des vols de cryptomonnaies étatiques dépassant 6 milliards de dollars depuis 2017 — dont le vol unique de 1,5 milliard de dollars chez Bybit en février 2025. Les ransomwares ajoutent un flux de revenus parallèle fonctionnant à grande échelle.

La rapidité de déploiement. Plutôt que d’investir des mois dans le développement, le test et le déploiement de ransomwares sur mesure, les opérateurs Lazarus peuvent se concentrer sur leur point fort — l’accès initial et le mouvement latéral — puis confier le chiffrement et l’extorsion à une infrastructure éprouvée.

La chaîne d’attaque en détail

Le schéma opérationnel observé par Symantec suit une séquence cohérente :

L’accès initial passe par le vol d’identifiants, le phishing ou l’exploitation de services exposés — le savoir-faire classique de Lazarus, affiné au fil d’une décennie d’opérations.

Le mouvement latéral et l’escalade de privilèges suivent, les opérateurs Lazarus se déplaçant dans l’environnement de la victime pour obtenir le contrôle au niveau du domaine. Cette phase utilise un mélange d’outils exclusifs à Lazarus et de techniques d’utilisation des outils natifs du système.

Le déploiement des outils comprend Comebacker, la porte dérobée/le chargeur lié à Lazarus qui sert d’indicateur d’attribution le plus fort ; Blindingcan, un cheval de Troie d’accès à distance précédemment associé aux opérations Lazarus ; et ChromeStealer, conçu pour extraire les identifiants stockés dans les navigateurs Google Chrome.

Le déploiement du ransomware intervient une fois un contrôle suffisant obtenu. Medusa chiffre les systèmes tout en exfiltrant les données pour soutenir la double extorsion — menaçant à la fois d’un chiffrement permanent et d’une exposition publique des données pour maximiser la pression.

Les demandes de rançon ont atteint en moyenne 260 000 $ pour les cibles de santé et les ONG depuis novembre 2025, relativement modestes selon les standards des ransomwares d’entreprise mais dévastatrices pour des organisations aux ressources limitées.

La santé dans la ligne de mire

La sélection des cibles révèle une stratégie délibérée. L’analyse du site de fuite de Medusa montre quatre organisations de santé et à but non lucratif aux États-Unis répertoriées depuis début novembre 2025, dont une ONG dans le secteur de la santé mentale et un établissement éducatif pour enfants autistes.

Ces cibles partagent des caractéristiques qui les rendent attractives pour Lazarus :

• Faible maturité sécuritaire. Les ONG de santé fonctionnent généralement avec des budgets et un personnel de sécurité IT minimaux.
• Forte motivation de paiement. La perturbation des soins aux patients crée une pression urgente pour payer.
• Capacité forensique limitée. Les petites ONG disposent rarement des ressources pour une réponse prolongée aux incidents.
• Exposition réglementaire. Les exigences de notification de violation HIPAA ajoutent une pression réputationnelle au-delà de la rançon elle-même.

Symantec a également identifié une attaque réussie contre une cible au Moyen-Orient, ainsi qu’une tentative échouée de compromettre une organisation de santé américaine, indiquant que la campagne est plus large que ce que le site de fuite seul révèle.

Complexité de l’attribution : quel Lazarus ?

Le groupe Lazarus n’est pas une entité unique mais une constellation de sous-groupes opérant sous le Bureau général de reconnaissance de la Corée du Nord. Symantec a noté que bien que les tactiques, techniques et procédures (TTP) — attaques d’extorsion contre la santé américaine — ressemblent aux opérations précédentes de Stonefly (également connu sous le nom d’Andariel ou Onyx Sleet), les outils malveillants utilisés ne sont pas exclusifs à Stonefly. La porte dérobée Comebacker, par exemple, a également été liée au sous-groupe Pompilus (Diamond Sleet).

Cette ambiguïté pourrait être intentionnelle. Si la Corée du Nord déploie Medusa à travers plusieurs sous-groupes, cela crée une redondance opérationnelle. La neutralisation d’une équipe n’arrête pas la campagne.

Symantec a également identifié une campagne Lazarus distincte utilisant le ransomware Qilin parallèlement à Medusa, suggérant que le groupe se diversifie sur plusieurs plateformes RaaS simultanément.

Ce que cela signifie pour les défenseurs

La convergence des capacités étatiques et de l’infrastructure criminelle RaaS exige une mise à jour des modèles de menace :

Les hypothèses d’attribution doivent changer. La présence de Medusa dans votre environnement ne signifie plus « groupe criminel ». Cela pourrait signifier « opérateur étatique disposant de ressources nationales pour l’accès initial et la persistance ».

L’investissement en sécurité de la santé est non négociable. La rançon moyenne de 260 000 $ sous-estime le coût réel — amendes réglementaires, responsabilité juridique et perturbation des soins multiplient l’impact d’un ordre de grandeur.

Cherchez les indicateurs Lazarus aux côtés de Medusa. Les règles de détection pour Comebacker, Blindingcan et ChromeStealer doivent être déployées parallèlement aux IOC standard de Medusa. La présence de ces outils aux côtés de Medusa est le signal le plus clair d’une attaque affiliée à Lazarus.

L’hygiène des identifiants bloque le point d’entrée. Lazarus obtient l’accès initial par le vol d’identifiants et le phishing. Un MFA robuste, la surveillance des identifiants et l’authentification résistante au phishing sapent directement la chaîne d’attaque.

Considérez la double extorsion comme la norme. Chaque déploiement de Medusa inclut l’exfiltration de données. La segmentation réseau et les contrôles de prévention des fuites de données doivent être en place avant le déploiement du ransomware, pas après.

Questions Fréquemment Posées

Sources et lectures complémentaires

• Lazarus Group Uses Medusa Ransomware in Middle East and U.S. Healthcare Attacks — The Hacker News
• Lazarus Group Picks a New Poison: Medusa Ransomware — Dark Reading
• North Korean Lazarus Group Now Working With Medusa Ransomware — Security.com
• Lazarus Group Targets Healthcare Orgs with Medusa Ransomware — The Register
• Lazarus Hackers Adopt Medusa Ransomware for Extortion Campaigns — Industrial Cyber
• North Korean Lazarus Group Linked to Medusa Ransomware Attacks — Bleeping Computer