Fragmenty kodu w wymuszającym bitcoinowy okup szkodniku WannaCry są takie same jak w niektórych „dziełach” wiązanej z Koreą Północną grupy Lazarus. Do taki wniosków doszli eksperci z firm Kaspersky, Symantec oraz Google. Ponowne użycie modułów szkodliwego oprogramowania może być śladem, który pozwoli zbliżyć się do odpowiedzi na pytanie o autorstwo siejącego spustoszenie wirusa.
Pod koniec zeszłego tygodnia tysiące użytkowników domowych i instytucji na całym świecie dotknął jeden z największych obserwowanych do tej pory cyberataków. Oprogramowanie ransomware WannaCry wykorzystało do rozprzestrzenienia się po sieciach lukę w systemach operacyjnych Windows. Szkodnik po zainfekowaniu maszyny szyfruje pliki i żąda okupu za odblokowanie dostępu do zgromadzonych na komputerze informacji.
Eksperci analizujący próbki szkodliwego oprogramowania wskazują, że zawiera ono fragmenty identyczne z modułami używanymi wcześniej przez Lazarus Group. Wiązana z Koreą Północną grupa hakerów obarczana jest odpowiedzialnością m.in. za włamanie na serwery firmy Sony Pictures, wyprowadzenie ponad 80 mld dolarów z banku centralnego w Bangladeszu oraz ostatnią falę cyberataków na polskie banki.
O odnalezieniu podobieństw w oprogramowaniu WannaCry i „produktach” grupy Lazarus doniósł wczoraj m.in. Neel Mehta, badacz pracujący w Google. Podobne wnioski w poniedziałek zaprezentowały firmy Kaspersky Lab i Symantec. Jak informuje „The Guardian”, wspólny kod został wykorzystany już w 2015 r. w atakach na instytucje finansowe, a Lazarus sięgał już wcześniej po bitcoina jako narzędzie transferu środków.
Podobieństwo fragmentu komputerowego kodu nie wystarczy, by z całą pewnością przypisać autorstwo ostatnich ataków Koreańczykom. Wykorzystany moduł mógł znaleźć się w oprogramowaniu WannaCry, by wyprowadzić w pole ekspertów.
Samo powiązanie grupy z północnokoreańskim reżimem opiera się także tylko na poszlakach. W 2016 r. firma Kaspersky Lab przeanalizowała charakterystyczne cechy aktywności zespołu cyberprzestępców. Z analizy wynikało, że hakerzy pracują po ok. 15 godzin dziennie z przerwą na obiad. Okresy aktywności wskazywały na strefą czasową, w której leży Korea Północna. Również próbki kodu zawierały ciągi „typowe dla mówiących po koreańsku”. Jednoznacznych dowodów wskazujących na pochodzenie autorów ataków nie udało się jednak skompletować.
