BlueNoroff: il gruppo di hacker che sta rivoluzionando la criminalità informatica

Il gruppo di hacker BlueNoroff ha da tempo trasformato la criminalità informatica in un business ad alta tecnologia, con decine di milioni di dollari, asset in criptovalute e interi ecosistemi finanziari in gioco.

Un rapporto di Picus Security descrive in dettaglio l’evoluzione del gruppo. Iniziato con attacchi sfacciati alle banche, BlueNoroff si è gradualmente evoluto in una delle minacce più pericolose per il mercato delle criptovalute, le aziende Web3 e gli sviluppatori di tutto il mondo.

BlueNoroff è considerata la branca finanziaria del gruppo Lazarus e ha acquisito notorietà nel 2016, quando ha partecipato a un attacco alla Banca Centrale del Bangladesh. Gli aggressori hanno hackerato l’infrastruttura SWIFT e rubato 81 milioni di dollari, rendendolo uno dei furti informatici più eclatanti della storia. Il gruppo è poi passato ad attaccare banche in Europa e, nel 2017, ha cambiato obiettivo e ha iniziato a prendere di mira le società di criptovalute nell’ambito della campagna SnatchCrypto.

Nel 2018, gli hacker hanno iniziato a creare false aziende IT e a distribuire software “legittimo”, che in seguito ha ricevuto aggiornamenti dannosi. Negli ultimi anni, i principali obiettivi sono diventati gli utenti macOS e i progetti Web3. Nelle campagne GhostCall e GhostHire, gli aggressori si sono spacciati per reclutatori e investitori, hanno tenuto falsi colloqui e riunioni e hanno infettato i dispositivi di dirigenti e sviluppatori. Nel 2025, il gruppo si è spinto ancora oltre, lanciando attacchi alla supply chain, pubblicando pacchetti dannosi nei repository ufficiali di Go e camuffando malware da applicazioni Microsoft Teams.

Gli attacchi del gruppo si basano su una ricognizione meticolosa. Gli hacker setacciano LinkedIn e altri profili social, creano false identità plausibili e poi contattano le vittime tramite Telegram, app di messaggistica e falsi siti di videoconferenza. Alle vittime può essere offerto un compito di verifica, un colloquio o un incontro di investimento, che in realtà si conclude con l’installazione di malware.

L’arsenale tecnico di BlueNoroff è impressionante. Utilizzano malware modulare scritto in Rust, Go, Python e altri linguaggi, utilizzano AppleScript e script per eseguire codice su macOS, falsificano estensioni del browser, creano meccanismi di esecuzione automatica e mascherano file dannosi come processi di sistema e applicazioni popolari. Per rubare dati, utilizzano falsi prompt di password, richieste di sistema falsificate e raccoglitori di credenziali nascosti che cercano chiavi di accesso a servizi cloud e portafogli crittografici.

L’obiettivo primario di tutte le operazioni rimane il denaro. Il gruppo ruba sistematicamente criptovalute, dati finanziari e asset digitali, trasformando complessi attacchi APT in strumenti per frodi finanziarie su larga scala.

Gli esperti sottolineano che BlueNoroff è uno dei gruppi di criminali informatici più evoluti al mondo. Il suo percorso, dagli attacchi alle infrastrutture bancarie a complessi schemi di ingegneria sociale , attacchi alla supply chain e falsi colloqui di lavoro, dimostra come la criminalità informatica si stia evolvendo in un settore a tutti gli effetti, in cui tecnologia, psicologia e inganno lavorano di pari passo. E a giudicare dall’attività del gruppo nel 2024 e nel 2025, non mostra certamente segni di rallentamento.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.