Grupo Lazarus e Gangue de Ransomware Gunra Compartilham Ferramentas e Alvos na Coreia do Sul

A Operação Double Barrel não só expõe a colaboração entre o Lazarus Group, apoiado pela Coreia do Norte, e a gangue Gunra, mas também aprofunda a compreensão sobre as táticas norte-coreanas. Observa-se a exploração de vulnerabilidades em softwares de segurança financeira obrigatórios na Coreia do Sul, uma superfície de ataque que atinge tanto empresas quanto usuários comuns. Essa abordagem espelha outras campanhas de cadeia de suprimentos ligadas à Coreia do Norte, como o ataque Polyfill de 2024, detalhado pelo CEVIU em 13 de março de 2026, que também usou a infraestrutura de terceiros para injetar código malicioso.

A sincronia entre os grupos é notável: nomes de arquivos de malware, servidores de Comando e Controle (C2) e impressões digitais de chaves SSH são compartilhados. Isso sugere uma sinergia técnica intensa, que vai além de uma simples coordenação de alvos. A exploração de 15 sites legítimos para ataques watering-hole, comprometendo uma empresa de desenvolvimento web, demonstra um ataque à cadeia de suprimentos sofisticado. Os e-mails de spearphishing, com iscas geradas por IA, mostram a evolução das táticas de engenharia social norte-coreanas, visando setores estratégicos como a defesa. Essa operação se alinha ao padrão de persistência e adaptabilidade visto em outras ações norte-coreanas, como os ataques disfarçados em desafios de codificação, noticiados pelo CEVIU em 30 de julho de 2026, e os esquemas de financiamento de armas através de trabalhadores de TI, reportados em 24 de julho e 20 de março de 2026.

A Coreia do Norte tem um histórico de envolvimento com o ecossistema de ransomware, com atores estatais associados a operações como Play, Qilin e Medusa nos últimos 18 meses. O padrão anterior, incluindo o indiciamento de Rim Jong Hyok em 2024, era de operadores norte-coreanos atuando como afiliados em esquemas de ransomware já estabelecidos. Agora, a Operação Double Barrel inverte a lógica: há fortes indícios de que o Lazarus Group, um ator estatal, está fornecendo ferramentas, exploits e acesso a um grupo de ransomware menor e mais recente, o Gunra. Este é um movimento estratégico que fortalece grupos menores e distribui o risco, enquanto amplia o alcance de extorsão estatal.

A colaboração entre um grupo estatal como o Lazarus e uma gangue de ransomware como a Gunra eleva o patamar da ameaça digital. Essa fusão de capacidades de espionagem e extorsão não só aumenta o poder destrutivo dos ataques, mas também dificulta a atribuição e a resposta. Para a Coreia do Sul, a dependência de software de segurança financeira obrigatório com vulnerabilidades exploradas representa um risco sistêmico, expondo governos, empresas e até PCs pessoais. A situação destaca a crescente desestabilização da cibersegurança global, com atores estatais borrando as linhas entre guerra cibernética e crime financeiro, exigindo uma reavaliação urgente das estratégias de defesa.