W ramach grupy wyodrębnia się wyspecjalizowane podgrupy. Bluenoroff (nazywana też APT38 lub Stardust Chollima) koncentruje się na atakach finansowych – od fałszywych zleceń w sieci SWIFT po kradzieże kryptowalut – a jej łupy mają zasilać program rakietowy i nuklearny reżimu; Andariel (Silent Chollima) specjalizuje się w operacjach przeciwko Korei Południowej oraz szpiegostwie przemysłowo-wojskowym. We wrześniu 2019 roku wszystkie trzy podmioty (Lazarus, Bluenoroff i Andariel) zostały objęte sankcjami amerykańskiego Departamentu Skarbu jako grupy sponsorowane przez państwo północnokoreańskie; w kwietniu 2022 roku sankcje rozszerzono o portfele kryptowalutowe grupy.
Historia działalności Za najwcześniejszą operację grupy uznaje się „Operation Troy” – rozpoczętą 4 lipca 2009 roku kampanię prymitywnych ataków DDoS (z użyciem złośliwego oprogramowania pochodnego od robaka Mydoom) na strony rządowe Stanów Zjednoczonych i Korei Południowej.