4 de julho de 2009: o DDoS que revelou o Lazarus Group ao mundo

Era 4 de julho de 2009. Nos Estados Unidos, feriado nacional: as ruas de Washington estavam cheias para os fogos de artifício do Dia da Independência. Enquanto isso, os servidores da Casa Branca, do Pentágono, da NYSE e de mais de vinte sites governamentais americanos começavam a engasgar sob um volume anormal de requisições. Em poucas horas, vários deles ficaram fora do ar por até quatro horas. Do outro lado do Pacífico, a Coreia do Sul sofria o mesmo destino: Blue House, Ministério da Defesa, Serviço Nacional de Inteligência — derrubados.

Ninguém sabia ainda, mas aquele seria o batismo de fogo do Lazarus Group — a APT norte-coreana que, nos anos seguintes, roubaria do banco central de Bangladesh, destruiria servidores da Sony Pictures e acumularia mais de US$ 3 bilhões em criptomoedas roubadas, segundo estimativas da ONU.

Os alvos e a escala do ataque

Os pesquisadores identificaram ao menos 39 URLs na lista de alvos encontrada nos sistemas comprometidos. Na Onda 1 (4 de julho), os EUA foram o foco principal:

• Casa Branca (whitehouse.gov)
• Pentágono
• Departamento do Tesouro
• Serviço Secreto (secretservice.gov)
• Comissão Federal de Comércio (FTC)
• NYSE e NASDAQ
• Washington Post e Amazon

Na Onda 2 (7 de julho), os atacantes voltaram a atenção para Seul: Blue House, Assembleia Nacional, Ministério da Defesa e o próprio NIS foram atingidos. A Onda 3 (9 de julho) voltou a incluir alvos americanos — entre eles o Departamento de Estado.

O tamanho da botnet é contestado até hoje. A Symantec estimou cerca de 50.000 máquinas comprometidas; o NIS sul-coreano apontou 20.000; um pesquisador vietnamita que analisou os logs dos servidores de comando e controle chegou a 166.000. O que é fato: mais de 400 servidores C2 espalhados por 61 países foram usados como infraestrutura de retransmissão.

O malware: código reciclado com payload destrutivo

Os dois componentes identificados pelos analistas foram o W32.Dozer (dropper) e o Trojan.Dozer (payload de DDoS). A análise de código revelou reutilização direta do worm MyDoom — um malware já bem documentado desde 2004.

O que diferenciava o Dozer de um DDoS comum era um payload secundário de destruição: depois de executar o ataque, o malware apagava dados do disco rígido e gravava a string Memory of the Independence Day no Master Boot Record da máquina infectada — tornando impossível a reinicialização normal. Os pesquisadores classificaram o código como "não sofisticado", sem técnicas de evasão ou ofuscação avançada. A sofisticação estava na escala e na coordenação, não no código em si.

Contexto geopolítico: a data não foi acidental

No mesmo dia do início da Onda 1, a Coreia do Norte lançou uma série de mísseis balísticos de curto alcance no Mar do Japão — a primeira provocação militar desde que o Conselho de Segurança da ONU aprovou a Resolução 1874, sancionando o regime após um teste nuclear em maio de 2009. Atacar os sites do governo americano no símbolo máximo do orgulho nacional americano tinha um valor simbólico claro, independente de quem fosse o responsável.

Quem foi o responsável pelo ataque DDoS de 4 de julho de 2009?

A atribuição à Coreia do Norte não foi imediata e só se consolidou anos depois. Em outubro de 2009, o NIS sul-coreano apontou formalmente Pyongyang. Um ano depois, funcionários americanos "praticamente descartaram" a hipótese, sugerindo que os atacantes poderiam ser ativistas sul-coreanos. A virada veio entre 2013 e 2014: pesquisadores conectaram o código do Trojan.Dozer ao malware usado no ataque DarkSeoul (março de 2013), que derrubou três emissoras e dois bancos sul-coreanos com um wiper. Esse rastro de reutilização de código foi rastreado até o grupo que hoje chamamos de Lazarus Group, ligado ao Reconnaissance General Bureau — a inteligência militar da Coreia do Norte. A CISA formalizou a conexão em 2017 através do alerta HIDDEN COBRA.

O que é o Lazarus Group

O Lazarus Group é uma APT (Advanced Persistent Threat) atribuída ao governo norte-coreano e rastreada sob vários nomes por diferentes empresas: HIDDEN COBRA (CISA/NSA), Guardians of Peace, APT38. O grupo opera sob o Bureau 121, unidade de guerra cibernética do Reconnaissance General Bureau da Coreia do Norte.

Depois de 2009, o Lazarus escalou em sofisticação e alcance:

• 2014: ataque à Sony Pictures — destruição de dados e vazamento de e-mails internos em retaliação ao filme The Interview
• 2016: tentativa de roubar US$ 1 bilhão do banco central de Bangladesh via rede SWIFT; US$ 81 milhões foram transferidos antes da detecção
• 2017: WannaCry ransomware, que afetou mais de 150 países e interrompeu hospitais do NHS britânico
• 2018–hoje: roubos sistemáticos a exchanges de criptomoedas — a ONU estima mais de US$ 3 bilhões acumulados até 2023

O padrão que os invasores adoram: feriados como cobertura

Escolher o 4 de julho não foi apenas simbólico — foi tático. Com equipes de segurança reduzidas e respostas mais lentas em datas comemorativas, a janela de ação aumenta. O padrão se repetiu em 2 de julho de 2021, quando o grupo REvil explorou um zero-day no software Kaseya VSA justamente na véspera do longo fim de semana do Dia da Independência, comprometendo entre 800 e 1.500 empresas via MSPs. O resgate exigido: US$ 70 milhões em Bitcoin por um decriptor universal.

A escolha deliberada de feriados como janela de ataque é hoje uma prática documentada de APTs — e um dos principais argumentos para que equipes de segurança mantenham cobertura de plantão em datas comemorativas.

O que 2009 ensinou — e o que ainda ignoramos

O ataque foi classificado como "não sofisticado." E tirou do ar os sites do governo americano por horas, usando código reciclado de 2004 e uma botnet de dezenas de milhares de máquinas. A lição mais clara de 2009 é que sofisticação técnica e impacto real não têm correlação direta: o que determina o dano é a escala, o timing e a clareza do objetivo.

O Lazarus Group saiu de um DDoS amador em um feriado de verão americano para ser hoje um dos grupos de roubo cibernético mais prolíficos da história. E tudo começou com código do MyDoom, 400 servidores C2 distribuídos pelo mundo e um MBR gravado com a frase "Memory of the Independence Day."

Para entender como os ataques destrutivos de origem estatal evoluíram nos anos seguintes, o NotPetya de 2017 é o próximo capítulo — considerado o ciberataque mais caro já registrado. A raiz histórica dessa linhagem de malwares de rede está no Morris Worm de 1988, o primeiro worm documentado da internet. E para entender como a espionagem estatal digital virou instrumento de política externa, o caso Snowden em 2013 — que veio logo depois do DarkSeoul — fecha o quadro.