Μετά το πρώτο σοκ από την παγκόσμια επίθεση του ransomware Wannacry οι αρχές ξεκίνησαν το κυνήγι για όσους βρίσκονται πίσω από τη μεγαλύτερη επίθεση ransomware που έγινε ποτέ.
“Ψάχνουμε μέσα σε τεράστια ποσά δεδομένων που συνδέονται με την επίθεση για την ταυτοποίηση προτύπων”, δήλωσε η Lynne Owens, Γενική Διευθύντρια της Εθνικής Υπηρεσίας Εγκλήματος (National Crime Agency), της βρετανικής ομάδας για την καταπολέμηση του οργανωμένου εγκλήματος.
Η National Crime Agency εργάζεται παράλληλα με διεθνείς εταίρους επιβολής του νόμου, μεταξύ των οποίων η Europol, η Interpol και το FBI, για να διερευνήσουν τις επιθέσεις.
“Ανταλλάσσουμε ενεργά πληροφορίες σχετικά με αυτό το γεγονός και είμαστε έτοιμοι να προσφέρουμε τεχνική υποστήριξη και βοήθεια, όπως απαιτείται στους εταίρους μας, στις Ηνωμένες Πολιτείες αλλά και διεθνώς.”
Όμως η “έκπληξη” στην ιστορία του WannaCry ήρθε από έναν ερευνητή της Google, που θέλει τους συγγραφείς του ransomware να είναι από τη Βόρεια Κορέα.
Νωρίτερα σήμερα, ο ερευνητής της Google Neel Mehta δημοσίευσε ένα μήνυμα στο Twitter που περιέχει το hashtag #WannaCryptAttribution.
9c7c7149387a1c79679a87dd1ba755bc @ 0x402560, 0x40F598
ac21c8ad899727137c4b94458d7aa8d8 @ 0x10004ba0, 0x10012AA4#WannaCryptAttribution— Neel Mehta (@neelmehta) May 15, 2017
Το μήνυμα περιέχει συγκρίνει δείγματα από το δείγμα κρυπτογράφησης του WannaCry από τον Φεβρουάριο του 2017 και ένα δείγμα της ομάδας Lazarus APT από τον Φεβρουάριο του 2015, όπως επισημαίνουν άνθρωποι από την Kaspersky Lab. Οι εντολές που παρουσιάζονται στο tweet αντιπροσωπεύουν ένα μοναδικό αλγόριθμο κωδικοποίησης.
Η ομάδα Lazarus είναι μια γνωστή ομάδα hacker. Έχουν συνδεθεί με την επίθεση της Sony Wiper, καθώς και με την τραγωδία των τραπεζών του Μπαγκλαντές που τους άφησε μερικά εκατομμύρια φτωχότερες. Η ομάδα δραστηριοποιείται από το 2011 και έχουν συγκεντρωθεί εκατοντάδες δείγματα από τον κώδικα που χρησιμοποιούν. Αποκαλύφθηκε ότι δημιουργούσαν κακόβουλα προγράμματα, αναπτύσσοντας νέα δείγματα μέσω “πολλαπλών ανεξάρτητων μεταφορέων”.
Υπάρχουν, βεβαίως, πολλά ερωτήματα για την “εμφάνιση” της ομάδας Lazarus τη συγκεκριμένη στιγμή. Είναι αλήθεια ή απλά είναι κάποιος που τους μιμείται;
Εξάλλου, δεν είναι και τόσο δύσκολο για τους συγγραφείς του WannaCry να αντιγράψουν τον κώδικα που χρησιμοποιεί η ομάδα Lazarus. Εξάλλου η σημερινή συγκυρία με τις ΗΠΑ να συγκεντρώνουν το στόλο τους γύρω από την Βόρεια Κορέα, επιτρέπει πολλούς συνομοσιολογικούς συσχετισμούς…
Από την άλλη πλευρά, ο κώδικας φαίνεται ότι δεν έχει αφαιρεθεί από τον κώδικα του backdoor του 2015, γεγονός που κάνει την ιστορία πολύ πιο αξιόπιστη.
Ερευνητές της Kaspersky φέρεται να είναι αρκετά σίγουροι ότι το δείγμα του WannaCry που κυκλοφόρησε το Φεβρουάριο του 2017 συντάχθηκε από τους ίδιους ανθρώπους που είναι πίσω από την τρέχουσα επίθεση ή από άτομα που έχουν πρόσβαση στον ίδιο πηγαίο κώδικα.
Άλλοι ερευνητές ασφαλείας εκτός από τον Mehta παρατήρησαν την ίδια ομοιότητα, όπως ο Matthieu Suiche της Comae Technologies, ο οποίος ανακάλυψε και σταμάτησε μια νέα παραλλαγή του κακόβουλου λογισμικού ενεργοποιώντας ένα διαφορετικό kill switch.
https://twitter.com/msuiche/status/864179805402607623
Τώρα, το ενδιαφέρον θα είναι αν ομάδα Lazarus αναγνωριστεί και από τις υπηρεσίες πληροφοριών των ΗΠΑ. Η ίδια η Kaspersky Lab παρουσίασε κάποια στοιχεία μόλις πριν από περίπου ένα μήνα, συνδέοντας τις επιθέσεις στις τράπεζες του Βιετνάμ, την τράπεζα του Μπαγκλαντές, καθώς και το τραπεζικό σύστημα SWIFT, με την ομάδα Lazarus και τη Βόρεια Κορέα.
