国家级黑客彼此互通有无，交换战术及共享恶意程序的情况相当常见，但如今有国家级黑客与网络犯罪生态圈打交道的情况，引起研究人员的注意。

资安业者Palo Alto Networks表示，他们确认外号为Onyx Sleet、Jumpy Pisces的北韩黑客组织Andariel，参与了近期的勒索软件Play攻击行动，这样的情况代表该组织的策略出现变化，针对这样的现象，研究人员指出，此为这批人马首度运用现有的勒索软件基础设施情况，后续动态相当值得留意。

针对这样的现象，研究人员推测，很有可能Andariel部分派系正与经营勒索软件Play的黑客团体Fiddle Scorpius进行合作，有可能是成为Play的附属组织，或是担任初始入侵掮客（Initial Access Broker，IAB）的角色。

该公司察觉两组人马结盟的关键，在于今年9月协助遭受勒索软件Play攻击的客户进行事故调查过程，发现Andariel于5月使用外流的帐密数据取得初始入侵的权限，后来使用渗透测试工具Sliver及他们打造的恶意软件DTrack，借由SMB通信协定进行横向移动，并在受害企业的网络环境持续活动。

攻击者使用远程连接工具与C2服务器通信的情况，持续到9月初，最终受害组织被植入勒索软件。

研究人员目前无法确认Andariel与Fiddle Scorpius的合作关系，但这样的情况仍值得留意，因为这是北韩政府资助的黑客与勒索软件黑客组织首度有合作的记录，代表着北韩黑客很有可能广泛投入勒索软件活动，而引发更为广泛、更具破坏性的危害。