Atrybucja i struktura Nazwę „Lazarus Group” spopularyzowali badacze bezpieczeństwa, którzy w ramach ogłoszonej w 2016 roku operacji „Blockbuster” (koalicja firm pod przewodnictwem Novetty) powiązali atak na Sony z wcześniejszymi kampaniami, analizując wielokrotne użycie tego samego kodu w dziesiątkach rodzin złośliwego oprogramowania. Poszczególne firmy używają dla tej aktywności własnych oznaczeń – amerykańska administracja stosuje nazwę Hidden Cobra, Microsoft określał grupę jako ZINC, a następnie Diamond Sleet – przy czym nazwy te nie zawsze opisują dokładnie ten sam zbiór operacji, dlatego „Lazarus” bywa traktowany raczej jako określenie parasolowe dla północnokoreańskiego ekosystemu cyberoperacji niż pojedynczego, stałego zespołu. Techniki i narzędzia grupy są katalogowane m.in. w bazie MITRE ATT&CK pod oznaczeniem G0032. Sami badacze zastrzegają też, że powtórzenia kodu mogą być celową fałszywą flagą mającą zmylić śledczych.