Nova teoria liga Coreia do Norte a ciberataque global com vírus WannaCry

Quem está por trás do ciberataque global? Uma nova teoria aponta para a Coreia do Norte, mas o que se sabe até agora não é nem um pouco conclusivo.

Você pode nunca ter ouvido falar do Grupo Lazarus, mas provavelmente conhece seu trabalho. O enorme vazamento de dados do estúdio Sony Pictures em 2014 e outro envolvendo um banco de Bangladesh em 2016 foram atribuídos a ele. Acredita-se que o grupo atue a partir da China, mas sob o comando de norte-coreanos.

Especialistas em segurança estão estabelecendo com cautela ligações entre o Lazarus e o recente ataque que afetou milhares de computadores em mais de 150 países, após uma descoberta feita pelo pesquisador do Google Neel Mehta.

Ele identificou semelhanças entre o código do vírus WannaCry, usado no ataque, e outros tipos de software que teriam sido criados pelo Lazarus no passado. É uma evidência pequena, mas há outras pistas que seguem na mesma direção.

Alan Woodward, especialista em segurança, destaca que os registros de horários no código original do WannaCry estão ajustados de acordo com o fuso horário chinês.
Uma vez dentro do computador da vítima, o vírus assume o controle sobre seus arquivos, bloqueando o acesso, e exige US$ 300 (R$ 937) para devolver o comando ao usuário.

Este pedido deste resgate está quase inteiramente em inglês, mas o texto parece ter sido traduzido por uma máquina. E há um pequeno trecho em chinês, aparentemente escrito por um nativo do idioma.
“Como se pode ver, é tudo bem frágil e circunstancial”, diz Woodward. “No entanto, vale averiguar mais.”

Código

Uma investigação já está em curso. “A descoberta de Mehta é a pista mais significativa sobre a origem do WannaCry”, disse a empresa de segurança digital russa Kaspersky.

Mas a companhia diz que é preciso obter mais informações sobre as primeiras versões do vírus antes de fazer qualquer conclusão.

“É importante que outros pesquisadores no mundo analisem as semelhanças e tentem saber mais sobre como surgiu. No ataque de Bangladesh, havia poucos indícios que o ligassem ao Lazarus. Com o tempo, mais evidências apareceram e nos deram confiança para estabelecer a ligação. Novas pesquisas podem ser cruciais para ligar os pontos.”

Determinar a autoria de ciberataques pode ser difícil – muitas vezes, isso depende mais de um consenso entre especialistas do que de uma confirmação de fato.

A Coreia do Norte nunca admitiu, por exemplo, seu envolvimento no vazamento da Sony. Analistas e o governo americano dizem estar seguros disso, mas não é possível descartar a hipótese de que seja um engano. Hackers podem ter usado técnicas similares às dos norte-coreanos para levar a crer que eles foram os autores.

‘Não fica de pé’

No caso do WannaCry, é possível que hackers tenham simplesmente copiado o código usado em ataques anteriores pelo Lazarus. Mas a Kaspersky disse que equívocos relativos a isso são “possíveis” mas “improváveis”, já que o código compartilhado foi removido de versões posteriores.

“Há muitos ‘e se’ aí”, diz Woodward. “Não fica de pé diante da Justiça. Mas vale ir mais a fundo, tendo em mente a possibilidade de que se pode ser tendencioso agora que a Coreia do Norte foi identificada como uma possibilidade.”

É a teoria mais forte sobre a origem do WannaCry até agora, mas há detalhes que depõem contra ela.

Primeiro, a China foi um dos países mais atingidos, e isso não se deu por acidente – os hackers fizeram questão de incluir uma versão do pedido de resgate escrita em chinês. A Rússia também foi bastante afetada. É improvável que a Coreia do Norte quisesse antagonizar seus aliados.

Além disso, os ciberataques norte-coranos costumam ter alvos mais precisos, normalmente com um objetivo político em mente. No caso da Sony, hackers queriam impedir o lançamento do filme A Entrevista (2014), que zombava do líder do país, Kim Jong-Un. Já o WannaCry agiu de forma indiscriminada, afetando tudo e qualquer coisa que estivesse a seu alcance.

Por fim, se o plano era simplesmente obter dinheiro, ele vem fracassando. Apenas US$ 60 mil (R$ 187 mil) foram arrecadados com resgates até o momento, segundo uma análise de contas da moeda digital bitcoin usadas pelos criminosos.

Com mais de 200 mil máquinas infectadas, é um péssimo resultado. Mas talvez o resgate seja uma distração para outro objetivo político ainda não identificado. Outra possibilidade é que o Lazarus tenha agido sozinho. Ou que o grupo sequer esteja ligado à Coreia do Norte.

Há, portanto, mais perguntas do que respostas neste caso. E, na guerra cibernética, é sempre muito difícil esclarecer definitivamente os fatos.

G1