WannaCry: como um exploit da NSA infectou 200 mil PCs em 2017

Era uma sexta-feira, 12 de maio de 2017. Em hospitais do NHS britânico, médicos perceberam que os computadores exibiam uma mensagem em vermelho exigindo US$ 300 em bitcoin. Cirurgias foram canceladas. Pacientes redirecionados. Em Madri, a Telefónica mandou funcionários desligar as máquinas na pressa. No Brasil, o INSS e o Itamaraty saíam do ar como precaução. Em menos de um dia, o WannaCry havia infectado mais de 200 mil computadores em 150 países — e a arma usada para isso tinha sido forjada dentro da NSA.

EternalBlue: a arma que a NSA não devia ter perdido

Por anos, a Agência de Segurança Nacional dos EUA explorou silenciosamente uma vulnerabilidade crítica no protocolo SMBv1 do Windows. A falha, que receberia depois o CVE-2017-0144, permitia execução remota de código sem nenhuma autenticação — bastava que a porta 445 estivesse acessível na rede. A NSA transformou isso em uma ferramenta ofensiva chamada EternalBlue e a usou para coleta de inteligência, mantendo a brecha aberta e a Microsoft no escuro.

Em abril de 2017, um grupo chamado Shadow Brokers publicou um dump de ferramentas da NSA na internet. EternalBlue estava no pacote. A Microsoft havia lançado o patch MS17-010 um mês antes — provavelmente alertada pela própria agência quando percebeu o vazamento iminente — mas dezenas de milhares de organizações ainda não tinham aplicado a correção. Máquinas com Windows XP, fora de suporte desde 2014, eram vulneráveis sem alternativa oficial.

Seis semanas após o vazamento, alguém usou o EternalBlue como motor de propagação de um novo ransomware. O resultado foi o WannaCry.

Como o WannaCry funcionava

Diferente de ransomwares convencionais que dependem de phishing para a infecção inicial, o WannaCry era um cryptoworm: ele se espalhava autonomamente pela rede sem nenhuma interação do usuário.

O fluxo de ataque era direto:

• O worm varria endereços IP aleatórios em busca de portas 445 abertas
• Usava o EternalBlue para explorar o SMBv1 e ganhar execução remota
• Instalava o DoublePulsar (outro exploit vazado da NSA) como backdoor
• Criptografava os arquivos da máquina comprometida com AES-128
• Exibia a nota de resgate pedindo US$ 300 em bitcoin (subindo para US$ 600 após 72h)
• Repetia o ciclo para todas as máquinas acessíveis naquela rede

A propagação era exponencial. Em organizações com redes internas grandes e patches atrasados — como hospitais e órgãos públicos —, uma única máquina comprometida podia derrubar centenas de sistemas em minutos.

O impacto global: de hospitais a montadoras

O NHS britânico foi o caso mais emblemático. Até 70.000 dispositivos foram afetados, incluindo computadores, scanners de ressonância magnética e equipamentos de centro cirúrgico. O custo para o sistema de saúde britânico foi estimado em £92 milhões — entre perda de produtividade e custo de recuperação de TI. Consultas e cirurgias eletivas foram canceladas em massa.

A Telefónica, na Espanha, detectou a infecção em cerca de 100 máquinas e ordenou o desligamento geral dos computadores da empresa. A Renault na França e a Nissan no Reino Unido pararam linhas de produção. A operadora russa MegaFon foi atingida. O banco central da Rússia confirmou tentativas de infecção. A Deutsche Bahn na Alemanha teve painéis de informação nas estações sequestrados pela tela do ransomware.

O Brasil foi o 5º país mais afetado no mundo?

Sim, segundo dados da Avast, o Brasil ficou entre os cinco países com mais sistemas atingidos. Petrobras e Itamaraty desligaram computadores preventivamente. O INSS interrompeu atendimentos em 14 estados e no Distrito Federal. Tribunais de Justiça em vários estados também foram afetados. O IBGE confirmou tentativas de infecção em sua rede.

A extensão do impacto no Brasil refletiu um problema estrutural: parque de máquinas antigo, alta prevalência de Windows desatualizado (inclusive XP) e lentidão na aplicação de patches em órgãos públicos — um cenário que, infelizmente, persiste até hoje.

O kill switch de US$ 10,69

Marcus Hutchins era um pesquisador de segurança britânico de 22 anos que trabalhava sob o pseudônimo MalwareTech. Quando analisou uma amostra do WannaCry no dia do ataque, encontrou algo estranho: antes de executar, o ransomware consultava um domínio com nome absurdamente longo e sem sentido — iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.

O domínio não estava registrado. Hutchins o registrou por US$ 10,69, achando que serviria apenas para monitorar o tráfego do malware. Não foi bem isso que aconteceu.

O WannaCry tinha um mecanismo de anti-análise embutido: se o domínio respondesse, o ransomware interpretava que estava rodando dentro de um sandbox de segurança e se desligava para não ser detectado. Uma vez que Hutchins registrou o domínio e ele passou a responder às consultas, o worm parou de se propagar globalmente. O que era uma técnica de evasão virou um kill switch acidental.

Em total, os operadores do WannaCry coletaram aproximadamente US$ 143.000 em bitcoin — uma fração ínfima do bilhão de dólares em danos estimados causados pelo ataque.

Quem estava por trás?

Em dezembro de 2017, os governos dos EUA, Reino Unido e Austrália atribuíram formalmente o WannaCry ao Lazarus Group, o grupo de hackers vinculado à inteligência norte-coreana (RGB). A mesma organização por trás do roubo de US$ 81 milhões do banco central de Bangladesh em 2016 e de ataques à Sony Pictures em 2014.

O motivo teria sido a arrecadação de divisas em moeda estrangeira — um objetivo recorrente para o regime de Pyongyang, sujeito a sanções internacionais. A ironia: uma ferramenta da NSA americana, vazada por hackers anônimos, foi usada por hackers norte-coreanos para atacar sistemas ocidentais. A cadeia de custódia de ciberarmas não funciona como armas convencionais.

O Lazarus Group também é investigado por ataques posteriores que seguiram padrão similar. Se quiser entender o histórico do grupo, o DDoS de 4 de julho de 2009 cobre o que foi provavelmente o primeiro grande ataque público do grupo.

O que mudou (e o que não mudou) depois do WannaCry

A Microsoft tomou uma medida sem precedentes: lançou patches emergenciais para versões fora de suporte, incluindo Windows XP e Windows Server 2003. O EternalBlue levou à aposentadoria acelerada do SMBv1 como protocolo padrão em versões posteriores do Windows. Organizações ao redor do mundo aceleraram ciclos de patching e revisaram políticas de segmentação de rede.

Mas o problema estrutural não desapareceu. Um ano após o WannaCry, a Kaspersky estimava que o EternalBlue ainda era um dos principais vetores de infecção ativos na internet. Máquinas com SMBv1 exposto e sem patch continuam acessíveis em redes corporativas hoje.

Vale a pena comparar o WannaCry com o que veio logo depois: em junho de 2017, o NotPetya usou os mesmos exploits da NSA, mas como wiper disfarçado de ransomware — sem intenção de recuperar os arquivos, apenas destruir. Se o WannaCry foi caótico, o NotPetya foi cirúrgico e causou US$ 10 bilhões em danos.

O WannaCry também não foi o ponto de origem do problema. A NSA construindo armas cibernéticas ofensivas com vulnerabilidades que não revelava aos fabricantes é uma prática que antecede — e segue — o EternalBlue. O Stuxnet, desenvolvido uma década antes, já mostrava o precedente de estados usando código como arma com consequências imprevisíveis quando esse código escapa do controle.

Como se proteger hoje contra ameaças do tipo WannaCry

Os vetores que o WannaCry explorou continuam relevantes:

• Patches atrasados: o MS17-010 existia antes do ataque. Organizações que aplicaram o patch a tempo não foram afetadas
• SMBv1 ativo: desativar o protocolo legado reduz drasticamente a superfície de ataque
• Redes sem segmentação: uma vez dentro, o worm se espalhou livremente porque não havia VLANs ou firewalls internos separando segmentos críticos
• Backups inexistentes ou não testados: organizações que tinham backups offline conseguiram se recuperar sem pagar resgate

Para endurecimento do Windows contra ameaças de rede, o guia de 10 configurações para tornar o Windows 11 mais seguro cobre parte dessas superfícies de ataque.

O WannaCry foi um lembrete de que ciberarmas estatais não ficam confinadas aos arsenais dos estados que as criaram. Uma vez vazadas, qualquer ator — seja um grupo criminoso, um estado adversário ou um script kiddie com acesso ao dump certo — pode empunhá-las. O domínio de US$ 10,69 que freou o caos em 2017 não vai funcionar duas vezes.