Bezpečnostní výzkumníci ze společnosti Fox-IT, dceřiné firmy NCC Group, popsali RemotePE, nenápadného trojského koně pro vzdálený přístup napsaného v C++, kterého severokorejská skupina Lazarus používá proti finančním a kryptoměnovým organizacím. Malware je doručen třístupňovým řetězcem: DPAPILoader pomocí Windows Data Protection API dešifruje a načte RemotePELoader, který pak stáhne finální payload RemotePE běžící zcela v paměti, aniž by se kdy dotkl disku.
Útoky začínají sociálním inženýrstvím. Útočníci kontaktují oběti na Telegramu pod záminkou, že jsou zaměstnanci obchodní firmy, a poté je nalákají na falešné domény Calendly a Picktime ke schůzce, aby kompromitovali jejich zařízení. RemotePE využívá únikové techniky jako Hell's Gate a úpravu ETW, čímž zanechává minimální forenzní stopu, kterou výzkumníci považují za přímo navrženou pro dlouhodobé sledování před krádeží vysoké hodnoty.
Rozsah hrozby je značný: hackerům spojeným se Severní Koreou se připisuje přibližně 577 milionů dolarů ukradených v kryptoměnách jen za první čtyři měsíce roku 2026, což představuje asi 76 % všech celosvětových krádeží kryptoměn, a odhadem 6 miliard dolarů ukradených od roku 2017.