O Grupo Lazarus (também conhecido como Guardians of Peace ou Whois Team) é um grupo de Hackers composto por um número desconhecido de indivíduos, supostamente operado pelo governo da Coreia do Norte. Embora pouco se saiba sobre o grupo, pesquisadores já atribuíram a ele diversos ciberataques desde 2010.
Originalmente um grupo criminoso, o grupo agora foi designado como uma Ameaça persistente avançada devido à sua natureza intencional, ao risco que representa e à ampla variedade de métodos utilizados em suas operações. Os nomes atribuídos por organizações de cibersegurança incluem Hidden Cobra (utilizado pelo Departamento de Segurança Interna dos Estados Unidos para se referir à atividade cibernética maliciosa do governo norte-coreano em geral) e ZINC ou Diamond Sleet (pela Microsoft). De acordo com o desertor norte-coreano Kim Kuk-song, a unidade é internamente conhecida na Coreia do Norte como 414 Liaison Office.
História O primeiro ataque conhecido pelo qual o grupo é responsável é denominado "Operação Troy", que ocorreu de 2009 a 2012. Trata-se de uma campanha de Ciberespionagem que utilizou técnicas insossificadas de ataque de negação de serviço distribuído (DDoS) para atingir o governo sul-coreano em Seul. Eles também foram responsáveis por ataques em 2011 e 2013. Embora incerto, é possível que também tenham sido os responsáveis por um ataque em 2007 contra a Coreia do Sul. Um ataque notável pelo qual o grupo é conhecido é o ataque à Sony Pictures de 2014. O ataque à Sony utilizou técnicas mais sofisticadas e evidenciou o quão avançado o grupo se tornou com o tempo.
Foi relatado que o Grupo Lazarus roubou US$12 milhões do Banco del Austro, no Equador, e US$1 milhão do Tien Phong Bank do Vietnã em 2015. Eles também têm como alvo bancos na Polônia e no México. O assalto cibernético ao Banco de Bangladesh de 2016 incluiu um ataque ao Banco de Bangladesh, resultando no roubo de US$81 milhões, e foi atribuído ao grupo. Em 2017, foi reportado que o Grupo Lazarus havia roubado US$60 milhões do Far Eastern International Bank de Taiwan, embora o montante real roubado fosse incerto e a maior parte dos fundos tenha sido recuperada.
Não está claro quem realmente está por trás do grupo, mas relatos da mídia sugeriram que o grupo tem ligações com a Coreia do Norte. A Kaspersky Lab reportou, em 2017, que o Lazarus tendia a concentrar-se em ciberataques de espionagem e infiltração, enquanto um subgrupo dentro de sua organização, denominado pela Kaspersky como Bluenoroff, especializava-se em ciberataques financeiros. A Kaspersky identificou múltiplos ataques em todo o mundo e um vínculo direto (endereço IP) entre o Bluenoroff e a Coreia do Norte.
No entanto, a Kaspersky também reconheceu que a repetição do código poderia ser uma "bandeira falsa" destinada a enganar os investigadores e atribuir o ataque à Coreia do Norte, considerando que o ataque cibernético global do verme WannaCry copiou técnicas da NSA. Esse ransomware explora uma vulnerabilidade da NSA conhecida como EternalBlue, que um grupo de hackers denominado Shadow Brokers tornou público em abril de 2017. A Symantec reportou, em 2017, que era "altamente provável" que o Lazarus estivesse por trás do ataque WannaCry.
Operação Troy (2009)
O primeiro grande incidente de hacking do Grupo Lazarus ocorreu em 4 de julho de 2009, marcando o início da "Operação Troy". Esse ataque utilizou os malwares Mydoom e Dozer para lançar um ataque DDoS de grande escala, embora bastante insossificado, contra sites dos Estados Unidos e da Coreia do Sul. A série de ataques atingiu cerca de três dezenas de sites e inseriu o texto "Memory of the Independence Day" no registro mestre de inicialização (MBR).
Ciberataque à Coreia do Sul em 2013 (Operação 1Mission/ DarkSeoul)
Com o tempo, os ataques deste grupo tornaram-se mais sofisticados; suas técnicas e ferramentas foram melhor desenvolvidas e se tornaram mais eficazes. O ataque de março de 2011, conhecido como "Dez Dias de Chuva", teve como alvo a mídia, instituições financeiras e infraestrutura crítica sul-coreana, consistindo em ataques DDoS mais sofisticados originados de computadores comprometidos na Coreia do Sul. Os ataques continuaram em 20 de março de 2013, com o DarkSeoul, um ataque do tipo wiper que teve como alvo três emissoras sul-coreanas, instituições financeiras e um provedor de internet. Na época, dois outros grupos, conhecidos pelas personas "NewRomanic Cyber Army Team" e "WhoIs Team", assumiram a autoria do ataque, mas os pesquisadores não sabiam que o Grupo Lazarus estava por trás dele na ocasião. Pesquisadores hoje reconhecem o Grupo Lazarus como um supergrupo por trás dos ataques disruptivos.
Final de 2014: violação na Sony Os ataques do Grupo Lazarus culminaram em 24 de novembro de 2014. Nesse dia, surgiu uma postagem no Reddit afirmando que a Sony Pictures havia sido hackeada por meio de métodos desconhecidos; os perpetradores se identificaram como os "Guardians of Peace". Grandes quantidades de dados foram roubadas e lentamente divulgadas nos dias seguintes ao ataque. Em uma entrevista, uma pessoa que afirmava fazer parte do grupo disse que vinha extraindo os dados da Sony há mais de um ano.
Os hackers conseguiram acessar filmes inéditos, roteiros de determinados filmes, planos para produções futuras, informações sobre salários de executivos da empresa, e-mails e os dados pessoais de cerca de 4.000 funcionários.
Investigação de início de 2016: Operação Blockbuster
Sob o nome "Operação Blockbuster", uma coalizão de empresas de segurança, liderada pela Novetta, conseguiu analisar amostras de malware encontradas em diferentes incidentes de cibersegurança. Utilizando esses dados, a equipe analisou os métodos empregados pelos hackers, associando o Grupo Lazarus a vários ataques por meio de um padrão de reutilização de código. Por exemplo, eles utilizaram um algoritmo de criptografia pouco conhecido disponível na internet, o algoritmo Caracachs cipher.
Assalto cibernético ao Banco de Bangladesh de 2016 O assalto cibernético ao Banco de Bangladesh foi um roubo ocorrido em fevereiro de 2016. Trinta e cinco instruções fraudulentas foram emitidas por hackers por meio da rede SWIFT para transferir ilegalmente cerca de US$1 bilhão da conta do Banco de Reserva Federal de Nova York pertencente ao Banco de Bangladesh, o banco central de Bangladesh. Cinco das trinta e cinco instruções foram bem-sucedidas na transferência de US$101 milhões – com US$20 milhões rastreados para o Sri Lanka e US$81 milhões para as Filipinas – enquanto o Banco de Reserva Federal de Nova York bloqueou as trinta transações restantes, totalizando US$850 milhões, devido a suspeitas geradas por uma instrução com erro de ortografia. Especialistas em cibersegurança afirmaram que o Grupo Lazarus, sediado na Coreia do Norte, foi o responsável pelo ataque.
Ataque de ransomware WannaCry em maio de 2017 O ataque WannaCry foi um massivo ciberataque de ransomware que atingiu instituições em todo o mundo – desde o NHS na Grã-Bretanha, passando pela Boeing, até universidades na China – em 12 de maio de 2017. O ataque durou 7 horas e 19 minutos. A Europol estima que ele afetou quase 200.000 computadores em 150 países, atingindo principalmente a Rússia, Índia, Ucrânia e Taiwan. Este foi um dos primeiros ataques com o uso de um cryptoworm (verme criptográfico), ou seja, uma classe de malware que se propaga entre computadores utilizando redes, sem a necessidade de ação direta do usuário para a infecção – neste caso, explorando a porta TCP 445. Para ser infectado, não é necessário clicar em um link malicioso – o malware pode se espalhar autonomamente, de um computador para uma impressora conectada e, daí, para computadores adjacentes, possivelmente conectados à rede Wi-Fi, etc. A vulnerabilidade na porta 445 permitiu que o malware se propagasse livremente pelas intranets, infectando milhares de computadores rapidamente. O ataque WannaCry foi um dos primeiros usos em larga escala de um cryptoworm.
Ataque O vírus explorou uma vulnerabilidade no sistema operacional Windows, criptografando os dados do computador em troca de um valor em Bitcoin de aproximadamente US$300 para se obter a chave. Para incentivar o pagamento, o valor do resgate dobrou após três dias e, se não fosse pago em uma semana, o malware excluía os arquivos criptografados. O malware utilizou um software legítimo chamado Windows Crypto, desenvolvido pela Microsoft para embaralhar os arquivos. Uma vez concluída a criptografia, o nome do arquivo passava a ter o sufixo "Wincry", que originou o nome WannaCry. Embora o Wincry tenha sido a base da criptografia, dois exploits adicionais – EternalBlue e DoublePulsar – foram empregados para transformar o malware em um verme criptográfico. EternalBlue espalha automaticamente o vírus pelas redes, enquanto DoublePulsar o ativa no computador da vítima. Em outras palavras, EternalBlue estabeleceu a ligação infectada com o seu computador e DoublePulsar a acionou para você.
Consequências O Departamento de Justiça dos Estados Unidos e as autoridades britânicas posteriormente atribuíram o ataque WannaCry à gangue de hackers norte-coreanos, o Grupo Lazarus.
Ataques a criptomoedas em 2017 Em 2018, a Recorded Future divulgou um relatório ligando o Grupo Lazarus a ataques a usuários de criptomoedas, como Bitcoin e Monero, principalmente na Coreia do Sul. Esses ataques foram relatados como tecnicamente semelhantes a ataques anteriores utilizando o ransomware WannaCry e aos ataques à Sony Pictures. Uma das táticas empregadas pelos hackers do Lazarus foi explorar vulnerabilidades no Hancom's Hangul, um software de processamento de texto sul-coreano. Outra estratégia consistiu no uso de iscas de spear-phishing contendo malware, enviadas a estudantes sul-coreanos e usuários de exchanges de criptomoedas, como a Coinlink. Caso o usuário abrisse o malware, este roubava endereços de e-mail e senhas. A Coinlink negou que seu site ou os e-mails e senhas dos usuários tivessem sido violados. O relatório concluiu que "esta campanha do final de 2017 é uma continuação do interesse da Coreia do Norte em criptomoedas, que agora sabemos abranger uma ampla gama de atividades, incluindo mineração, ransomware e roubo puro e simples..." O relatório também afirmou que a Coreia do Norte estava utilizando esses ataques a criptomoedas para evitar sanções financeiras internacionais.
Hackers norte-coreanos roubaram US$7 milhões da Bithumb, uma exchange sul-coreana, em fevereiro de 2017. A Youbit, outra exchange de Bitcoin sul-coreana, declarou falência em dezembro de 2017 após 17% de seus ativos terem sido roubados por ciberataques, decorrentes de um ataque anterior em abril de 2017. O Grupo Lazarus e hackers norte-coreanos foram responsabilizados pelos ataques. A NiceHash – marketplace de mineração em nuvem de criptomoedas – perdeu mais de 4.500 Bitcoins em dezembro de 2017. Uma atualização sobre as investigações afirmou que o ataque está vinculado ao Grupo Lazarus.
Ataques de setembro de 2019 Em meados de setembro de 2019, os EUA emitiram um alerta público sobre uma nova versão de malware denominada ElectricFish. Desde o início de 2019, agentes norte-coreanos tentaram cinco grandes furtos cibernéticos em todo o mundo, incluindo um roubo bem-sucedido de US$49 milhões de uma instituição em Kuwait.
Ataques a empresas farmacêuticas no final de 2020