מחקר: יוצרי כופרת WannaCry – מסין ולא מצפון קוריאה

יוצרי הכופרה WannaCry, שפגעה בכ-300 אלף מחשבים ב-150 מדינות לפני שבועיים – הם דוברי סינית ואינם צפון קוריאנים, כך על פי מחקר חדש של פלאשפוינט (Flashpoint).

החוקרים בפלאשפוינט שללו את הדיווחים לפיהם האקרים צפון קוריאנים הם העומדים מאחורי מתקפת הכופרה הגלובלית. זאת, לאחר שהם מצאו עדויות כי הכופרה WannaCry תורגמה משפה אחרת לקוריאנית. לדבריהם, יוצרי הכופרה דוברים סינית שוטפת.

"אנו מעריכים בביטחון רב", כתבו החוקרים בדו"ח, "כי מחברי WannaCry דוברים סינית שוטפת, באופן בו היא מדוברת בדרום סין, הונג קונג, טייוואן או סינגפור".

החוקרים ניתחו 28 גרסאות של הודעות שהופיעו במחשבי המשתמשים שננעלו עם דרישה לכופר בסך 300 דולרים. הם מצאו כי ההודעות שנשלחו בשפות האנגלית וסינית היו היחידות שנכתבו על ידי אדם. ההודעה בשפה הקוריאנית הכילה שגיאות דקדוק ופיסוק – עדות לכך שהיא נכתבה על ידי תרגומון ממוחשב.

"ניתוח של כמעט כל הודעות הדרישה לכופר", כתבו חוקרי פלאשפוינט, "העלה כי הן תורגמו באמצעות Google Translate וכי רק ההודעות שנשלחו באנגלית ובסינית נכתבו, קרוב לוודאי, על ידי אדם".

ניתוח ההודעה בשפה הסינית, ציינו החוקרים, מעלה כי הוא נכתב באופן רהוט, על ידי מי ששולט בשפה, מה שמגדיל את ההסתברות כי ההאקרים הם סינים. "שתי הודעות הכופר הסיניות שונות באופן משמעותי משאר ההערות – בתוכן, בתבנית וב-טון", כתבו חוקרי פלאשפוינט, "ההודעות בשפה הסינית מכילות תוכן שלא קיים בהודעות בשאר השפות".

But you have not so enough time

הודעת הדרישה לכופר באנגלית הכילה טעות דקדוקית גדולה אחת, מה שמעלה את הסבירות כי זו אינה שפת האם של ההאקרים. בהודעה באנגלית נכתב: "But you have not so enough time".

בשבוע שעבר פורסם כי נמצאו עדויות הקושרות את צפון קוריאה למתקפת הכופרה העולמית. פיונגיאנג כינתה את הטענה הזו "מגוחכת". עיקר הטענות נגד צפון קוריאה הוא הקשר שלה עם קבוצת פריצה בשם לזרוס (Lazarus Group), שקשורה לשוד הסייבר מהשנה שעברה, שבו נגנבו 81 מיליון דולר מהבנק המרכזי של בנגלדש, ולמתקפה על סוני (Sony).

כמה ימים אחר המתקפה פורסם כי מאחורי מתקפת הסייבר הענקית הבינלאומית עומדת קבוצת ההאקרים לזרוס – קבוצה שזוהתה בעבר כמקושרת עם צפון קוריאה, כך על פי סימנטק (Symantec) וקספרסקי (Kaspersky Lab).

רשת ההאקרים הצפון-קוריאנית, לזרוס, ביצעה מתקפות נגד 31 בנקים ברחבי העולם. קבוצה זו קושרה גם למתקפת הסייבר הגדולה שאירעה לפני כמה שנים נגד סוני. לזרוס גם קושרה למתקפת הסייבר הענקית שאירעה בשנה שעברה, באמצעות ניצול לרעה של SWIFT – רשת הקישוריות בין בנקים בעולם.

ההאקרים תקפו את הבנק המרכזי של ארצות הברית – הפדרל ריזרב (Federal Reserve) – במטרה לגנוב מיליארד דולר מהבנק המרכזי של בנגלדש. בפועל, הם הצליחו לגנוב "רק" 81 מיליון דולר, וממשלות ארצות הברית ובנגלדש הצליחו, במאמץ משותף, להחזיר 15 מיליון מהם.

כזכור, לפני שבועיים האקרים פרצו לכ-300 אלף מחשבים ביותר מ-150 מדינות בעולם. עד כה לא עלה מידע ודאי המצביע על זהותם של ההאקרים. המתקפה בוצעה באמצעות תוכנת פריצה שהודלפה ברשת על ידי קבוצה בשם Shadow Brokers.

הקבוצה הפיצה בשנה שעברה כלי פריצה שנגנבו מה-NSA, הסוכנות לביטחון לאומי של ארצות הברית. המתקפה רחבת ההיקף בוצעה באמצעות נעילה של הגישה למחשבים בדרישה לכופר של 300-600 דולרים תמורת שחרור הנעילה, בתשלום בביטקוין – למניעת האיתור של ההאקרים.

רק לבכות

כלי התקיפה של ה-NSA תוכננו ופותחו לצורכי ריגול של סוכנות ההאזנה האמריקנית – המקבילה ליחידה 8200 של ישראל – וההאקרים ביצעו להם התאמות לטובת המתקפות שלהם.

הכופרה היא ממשפחת WannaCry. הכופרה מגיעה למחשבי המשתמשים באמצעות הודעת דוא"ל עם קובץ מצורף. פתיחת הקובץ על ידי המשתמש, מפעילה את תהליך ההתקנה וההתפשטות של הכופרה.

מאות מערכות IT בבתי חולים ברחבי העולם נפגעו מהמתקפה. בבריטניה ההאקרים ניטרלו את המחשבים בעשרות בתי החולים – וגרמו לדחיות ולביטולים של ניתוחים. אלפי חולים נפגעו מהמתקפה באנגליה ובסקוטלנד – בעשרות בתי חולים.

לצד הפגיעה בבתי חולים בבריטניה, יותר מ-1,000 מחשבים ברוסיה, לרבות של משרד הפנים הרוסי, נפגעו מהמתקפה, כמו גם טלפוניקה (Telefónica), ענקית הטלקום הספרדית, FedEx, חברת השילוח האמריקנית, הבנק הספרדי BBVA, מערכת הרכבות בכמה ערים בגרמניה, אוניברסיטאות, חלק מהסניפים של פירמת רואי החשבון KPMG – וארגונים נוספים בעולם.