Il gruppo Lazarus e la Corea del Nord dietro WannaCry?

Mag 16, 2017 Marco Schiaffino Attacchi, Malware, News, RSS 0

I ricercatori puntano il dito contro il gruppo che ha colpito Sony e che nel febbraio 2016 ha rubato 81 milioni di dollari alla Banca del Bangladesh.

Mentre l’emergenza legata alla diffusione del ransomware WannaCry sembra tornare al di sotto del livello da “allarme rosso”, cominciano a circolare le prime ipotesi riguardo l’attribuzione dell’attacco.

Stando a quanto riportato da Neel Mehta di Google in un tweet (per la verità piuttosto criptico) nel codice del ransomware ci sarebbero elementi che porterebbero a pensare a un coinvolgimento del gruppo Lazarus, una vecchia conoscenza del settore.

In un primo momento, in realtà, i sospetti si erano concentrati su profili diversi. Nonostante abbia ottenuto un’enorme diffusione, WannaCry non è infatti un malware particolarmente complesso. Fa il suo lavoro e lo fa bene, ma senza accorgimenti tecnici o caratteristiche così avanzate da far urlare al “capolavoro”.

L’idea, quindi, era quella di un gruppo di pirati che è semplicemente riuscito a sfruttare con efficacia la potenza della vulnerabilità del Microsoft Server Message Block (SMB) per mettere in piedi una campagna di diffusione straordinariamente efficace.

Se quanto Mehta dice ha fondamento, però, tutto questo è da rivedere. Il ricercatore di Google, in particolare, ha attirato l’attenzione della community su una porzione di codice individuata in una delle prime versioni di WannaCry, che sarebbe pressoché identica a quella rilevata in Cantopee, un trojan usato nel 2015 dal gruppo Lazarus.

Come spiegano i ricercatori di Kaspersky nel blog della società di sicurezza russa, le similitudini sono piuttosto evidenti, anche se vanno prese con le molle.

Una porzione di codice identica in due malware è un buon indicatore del fatto che siano opera dello stesso autore. Forse…

Come ci ha insegnato la vicenda del leak degli strumenti di hacking della CIA, l’utilizzo di componenti o porzioni di codice presi da altri malware può significare semplicemente che gli autori del ransomware hanno preso una “scorciatoia” utilizzando il lavoro di altri o addirittura lo stanno usando come “false flag” per depistare chi indaga sull’attacco.

Il gruppo Lazarus, attivo fin dal 2011, è stato protagonista di numerose azioni e secondo alcuni avrebbe dei legami con la Corea del Nord.

Il collegamento con il regime di Kim Jong Un è stato ipotizzato dopo l’attacco portato dal gruppo Lazarus nei confronti di Sony. Secondo il governo statunitense, infatti, la violazione dei sistemi della multinazionale sarebbe stata una sorta di ritorsione per la pubblicazione del film “The Interview”, che sbeffeggiava il leader nord-coreano.

La Corea del Nord, però, aveva negato qualsiasi legame con l’attacco e i contorni della vicenda sono rimasti piuttosto confusi, anche perché i servizi segreti USA non hanno mai portato di fronte all’opinione pubblica la “pistola fumante” che avrebbe inchiodato il regime asiatico come mandante dell’attacco.

Quello nei confronti di Sony, però, non è stato l’unico attacco clamoroso portato a termine dal gruppo Lazarus. Secondo gli esperti di sicurezza, sarebbe infatti anche responsabile del “colpaccio” nei confronti della Banca Centrale del Bangladesh, un attacco che ha fruttato la bellezza di 81 milioni di dollari.

Cifre decisamente diverse da quelle che avrebbe fruttato finora l’attacco con WannaCry. Al momento, infatti, risulta che il ransomware abbia permesso ai pirati informatici di incassare riscatti per un ammontare complessivo di circa 60.000 euro.

Condividi l'articolo