朝鲜黑客表现出了更加组织化、专业化的现象。调查显示，朝鲜拥有多个称号不同的黑客组织，专门从事窃取情报、攻击金融网络等专业领域的黑客活动。

美国安全机构“CrowdStrike”在最近发布的报告书中指出，朝鲜黑客集团统称“Lazarus”，而Lazarus实际上有四个下级组织，不过，据机构称这四个组织的代号叫做“千里马”。

在此之前，安全机构普遍将朝鲜的黑客组织称为“APT37”。

这一代号的意思是使用高级持续性威胁(Advanced Persistent Threat·APT)黑客技术的第37号组织。不过，这次的分析结果显示，APT37只是“Lazarus”的下级组织之一，代号“迷宫千里马(Labyrinth Chollima)”。

“迷宫千里马”是朝鲜针对西方世界和韩国展开网络谍报活动的核心组织，专门负责窃取政府机构、军方以及金融、能源、电力等国家基础设施网络的机密资料。2014年盗窃并公开韩国水力原子能公司的核电站图纸的集团便是用了所谓的APT黑客技法。有观点认为，既然“迷宫千里马”已经被投入对韩国的网络作战之中，应当也与韩国水利原子能公司遭到黑客袭击的事件存在关联。

针对美国电影公司索尼电影娱乐公司进行黑客袭击的朝鲜黑客集团代号为“沉默的(Silent)千里马”，当时索尼电影娱乐公司制作了一部以“暗杀金正恩”为题材的喜剧电影《采访》，成了朝鲜的眼中钉。

“沉默的千里马”专门负责针对媒体、金融企业、政府机构等，通过黑客攻击使这些机构的网络系统陷入瘫痪，制造混乱。

据悉，代号“星尘(Stardust)千里马”的组织最近活动频繁，做出了不少动作。

该组织负责进攻金融网络。也就是说，该组织与朝鲜赚取外汇收入的活动密切相关。

他们不断尝试对全球主要银行间交易系统——环球银行金融电信协会(SWIFT)的网络以及美国银行网络进行黑客攻击，2016年纽约美联储在孟加拉国中央银行开设的账号被盗取8100万美元(约合871亿韩元)的黑客事件幕后黑手也被指是朝鲜。另外，最近国内外虚拟货币交易所频遭黑客攻击，也与朝鲜不无关系。

此外，还有个组织代号“打水漂(Ricochet)千里马”，根据“CrowdStrike”的说法，该组织专门负责窃取情报，可以在短时间内一招制敌，窃取资料。