Cibercrime sancionado pelo governo – O que é o Grupo Lazarus?

Cybercrime é uma ameaça. Estimativas sugerem que o dano combinado que o cibercrime poderia causar aos sistemas em todo o mundo chegou a US$6 trilhões em 2021. E se esse número já parece assustador, espera‑se que atinja US$10,5 trilhões até 2025. Em 2015, era US$3 trilhões. Um crescimento de mais de 300 % em uma década é algo com que todos devemos nos preocupar. Sim, você leu corretamente!

O que é cibercrime?

Cibercrime é um termo abrangente que engloba uma série de esquemas e esforços para perturbar, danificar e causar prejuízos a redes e sistemas. Pode ser qualquer tipo de atividade maliciosa que tem como alvo um computador, uma rede de computadores ou um dispositivo conectado. Pode ser um ataque de malware, onde o agressor infecta um sistema com um vírus.

Uma campanha de phishing usa e‑mails de spam, mensagens ou outras formas de comunicação para enganar o destinatário e comprometer a privacidade dos dados. Um ataque distribuído de negação de serviço (DoS) frequentemente infligido a dispositivos IoT derruba um sistema ou rede específicos.

Tipos de cibercrime também podem incluir roubo de dados financeiros, dados de cartões ou pagamentos, ciberextorsão, ciberespionagem, violação de direitos autorais, jogos de azar ilegais, ataque de ransomware e muito mais.

De acordo com dados apresentados pela renomada empresa de segurança cibernética Kaspersky, um único ataque – que pode ser uma violação de dados, malware, ransomware ou ataque DDoS – pode custar a uma empresa, independentemente do seu tamanho, em média US$200.000. Na verdade, os dados da seguradora Hiscox mostram que empresas afetadas podem fechar os negócios dentro de seis meses após o ataque.

Indiscutivelmente, o cibercrime traz consequências graves e severas. Agressores ou hackers estão espalhados globalmente e equipados para atacar qualquer sistema ou rede a partir de qualquer local remoto.

No entanto, crime não é algo que normalmente associamos a agências apoiadas por governos. Elas aplicam leis. Raramente as consideramos perpetradoras. E você certamente ficaria surpreso se, neste ponto, levantássemos o caso de cibercrime sancionado pelo governo. Mas não é incomum usar o cibercrime para fins políticos e ir além dos ganhos monetários. Aqui, discutiremos um caso típico de tal reputação, que alega a cumplicidade estatal na prática de cibercrime.

O caso curioso de Jon Chang Hyok e Kim Il

O site do Federal Bureau of Investigation menciona dois indivíduos norte‑coreanos em sua lista de Mais Procurados. Tanto Jon Chang Hyok quanto Kim Il são acusados de conspiração para cometer fraude bancária e de telecomunicações e fraude relacionada a computadores. Ambos foram supostamente hackers patrocinados pelo Estado que fizeram parte de uma suposta conspiração criminosa que resultou em algumas das intrusões de computador mais caras da história. Mas esses não são acusados comuns. Não são perpetradores com a simples agenda de saquear fundos. Seu propósito vai mais fundo e é mais obscuro do que se poderia esperar.
Ambos são alegados membros de um grupo de hackers do Reconnaissance General Bureau do Governo da Coreia do Norte. A conspiração da qual fizeram parte inclui grupos de hackers norte‑coreanos que muitos pesquisadores de segurança cibernética rotularam como Advanced Persistent Threat 38 (APT38) ou “Grupo Lazarus”.

O Grupo Lazarus e seus supostos delitos

A menção mais recente ao “notório” Grupo Lazarus surgiu quando, no final de janeiro de 2022, o FBI confirmou que foi o grupo que orquestrou o Hack do Harmony Bridge de US$100 milhões em junho de 2022.

Em 23 de junho de 2022, a equipe do protocolo Harmony identificou um roubo na ponte Horizon que totalizou aproximadamente US$100 milhões. Em sua declaração de 23 de janeiro, o FBI fez uma nota clara para confirmar que o Grupo Lazarus e o APT38, “agentes cibernéticos associados à DPRK”, foram responsáveis pelo roubo de US$100 milhões em moeda virtual. Os atacantes exploraram vulnerabilidades existentes na ponte Horizon Ethereum da Harmony e desviaram vários ativos armazenados na ponte por meio de 11 transações.

Antes do hack da Harmony Horizon Bridge, o nome do infame Grupo Lazarus também apareceu nos relatos do hack da Ronin Bridge de US$600 milhões Ronin Bridge hack em março de 2022. Para quem não conhece o hack da Ronin Bridge, foi a maior exploração de ativos virtuais ocorrida em 2022. Os fundos hackeados somaram impressionantes US$612 milhões, incluindo 173.600 ETH e 25,5 milhões de moedas USD.

Axie Infinity, um jogo de tokens não fungíveis (NFT) “play‑to‑earn”, usava a Ronin como uma sidechain Ethereum. Ao explicar a natureza do ataque, os desenvolvedores da Axie Infinity, Sky Mavis, apontaram que os hackers obtiveram acesso a chaves privadas para comprometer nós validadores e aprovar transações fraudulentamente, drenando os fundos da ponte.

O Office of Foreign Assets Control do Departamento do Tesouro dos Estados Unidos atualizou sua lista de Nacionalidades Especialmente Designadas e Pessoas Bloqueadas (SDN) em meados de abril de 2022 para sugerir a possibilidade de o Grupo Lazarus orquestrar o hack. Os hackers eram tão sofisticados e clandestinos em sua ação que foram descobertos vários dias após o hack, apesar de ser um dos maiores roubos de seu tipo no espaço cripto.

A mesma foi a natureza do hack da Harmony Horizon Bridge, onde o Grupo Lazarus utilizou o RAILGUN, um protocolo de privacidade, para canalizar mais de US$60 milhões em Ethereum roubado durante o ataque. Segundo investigações do FBI, parte desses fundos ficou congelada em colaboração com alguns VASPs, enquanto o Bitcoin restante foi posteriormente transferido para outros endereços.

O FBI manteve suas unidades de cibersegurança e ativos virtuais implantadas, juntamente com o escritório do Procurador dos EUA e a unidade de Cripto do Departamento de Justiça dos EUA, para identificar, interceptar e interromper as ações desse grupo norte‑coreano. O bureau acredita que o roubo e a lavagem de moedas virtuais pelo grupo destinam‑se a apoiar os programas de mísseis balísticos e de armas de destruição em massa da Coreia do Norte.

Aviso conjunto de cibersegurança emitido

Em 18 de abril de 2022, a Cybersecurity and Infrastructure Security Agency (CISA), junto com o FBI e o Tesouro dos EUA, divulgou um aviso sobre a “atividade patrocinada pelo Estado norte‑coreano direcionada à tecnologia blockchain e à indústria de criptomoedas.”

As ameaças

O aviso observa que a ameaça cibernética associada a roubos de cripto está ativa desde, pelo menos, 2020. O documento também, sem ambiguidades, reconheceu essa ameaça de Grupo Persistente Avançado (APT) como patrocinada pelo Estado norte‑coreano. As agências marcaram o grupo como Grupo Lazarus, APT 38, BlueNoroff e Stardust Chollima.

A análise do governo dos EUA sobre a ameaça classifica esses atores cibernéticos maliciosos como entidades que visam uma variedade de organizações na indústria de blockchain e cripto. Eles não poupam alvos. A lista de alvos inclui exchanges de cripto, protocolos DeFi, jogos de vídeo cripto P2E, empresas de negociação de cripto, fundos de capital de risco e detentores individuais de grandes quantidades de criptomoedas ou NFTs valiosos.

O Grupo Lazarus, e atores cibernéticos semelhantes, são hábeis em engenharia social de vítimas através de diversas plataformas de comunicação para, eventualmente, induzi‑las a baixar aplicativos cripto trojanizados em sistemas operacionais Windows e macOS. Por meio desses aplicativos, esses hackers obtêm acesso ao computador do usuário final e distribuem malware por todo o ambiente de rede.

O aviso apontou que o Grupo Lazarus foi responsável por mirar uma variedade de empresas, entidades e exchanges na indústria de blockchain e cripto. Seu método consistia em campanhas de spear‑phishing e uso de malware para roubar.

Malware AppleJeus

O FBI, a CISA e o DoT reconheceram especificamente o uso do malware AppleJeus no alvo do Grupo Lazarus a organizações para roubo de cripto em mais de 30 países nos últimos anos. O relatório da agência observou que a Coreia do Norte utilizou “malware AppleJeus se passando por plataformas de negociação de criptomoedas desde, pelo menos, 2018.”

O aplicativo malicioso parece ser gerado por uma empresa legítima de negociação de cripto. E os indivíduos, aprisionados pelo malware, acreditam que se trata de um aplicativo de terceiros de um site legal e o baixam.

O Governo da Coreia do Norte presumivelmente utilizou várias versões do malware ao longo dos últimos cinco anos, desde que foi descoberto em 2018.

O método de execução

Os cibercriminosos iniciam suas operações enviando um grande número de campanhas de phishing a funcionários de empresas de cripto. Eles geralmente visam pessoas que trabalham em administração de sistemas ou desenvolvimento de software/operações de TI (DevOps).

Mensagens que esses hackers enviam são, na maioria, alertas de recrutamento oferecendo empregos bem remunerados. Com esses atrativos, eles incitam esses funcionários a baixar aplicativos cripto carregados de malware, referidos pelo governo como TraderTraitor. As campanhas TraderTraitor apresentam sites com design moderno anunciando.

Ao listar Jon Chang Hyok na lista dos Mais Procurados do FBI, a agência vinculou ofensas semelhantes ao seu nome, dizendo que ele teria sido diretamente envolvido no “desenvolvimento e disseminação de aplicativos de criptomoedas maliciosos direcionados a inúmeras exchanges de criptomoedas e outras empresas”.

Para Kim Il, o crime alegado envolvia “roubos habilitados por ciberataques a instituições financeiras” e o golpe do ICO Marine Chain.

O golpe do ICO Marine Chain foi iniciado por três operativos de inteligência da Coreia do Norte. Foi uma trama maliciosa para coletar fundos fraudulentamente durante o auge do boom de ICO de 2018, quando quase US$12 bilhões foram arrecadados por projetos.

A Marine Chain se apresentava como o “mercado global de investimentos marítimos de próxima geração habilitado por tecnologia blockchain”. Prometia que proprietários de embarcações poderiam tokenizar a co‑propriedade de seus navios e vender essas moedas de co‑propriedade a indivíduos e instituições. Eles chamaram isso de Vessel Token Offerings, que prometiam ocorrer na blockchain Ethereum.

Kim Il e Jon Chang Hyok, juntamente com Park Jin Hyok – todos da Coreia do Norte – foram fundadores do Marine ICO. Eles esconderam o fato de serem membros da agência militar norte‑coreana, o Reconnaissance General Bureau (RGB). Usaram nomes falsos e canalizaram cada centavo arrecadado no ICO para a Coreia do Norte, evitando sanções dos EUA. O trio foi acusado de US$1,3 bilhão em tentativas de roubo por meio de inúmeros esquemas de extorsão e ataques cibernéticos.

O que vai acontecer?

Enquanto as agências de investigação dos EUA continuam descobrindo e rastreando hacks e tentativas de extorsão regularmente, tanto Kim Il quanto Jon Chang Hyok permanecem na lista dos Mais Procurados do FBI. Mandados de prisão foram emitidos. No entanto, a CISA afirmou em sua divulgação que “esses atores provavelmente continuarão explorando vulnerabilidades de empresas de tecnologia de criptomoedas, empresas de jogos e exchanges para gerar e lavar fundos para apoiar o regime norte‑coreano.”.