O pesquisador de segurança do Google, Neel Mehta, parece ser o primeiro a notar que grandes quantidades de código de computador em uma versão inicial do Wanna Cry eram idênticos ao código usado pelo Grupo Lazarus, uma equipe de hackers ligados ao governo da Coréia do Norte
Ele twittou meio-dia segunda-feira, 12, um roteiro que os pesquisadores poderiam usar para encontrar o código sobreposto.
A sobreposição tem influenciado outros pesquisadores. A Kaspersky Lab observou que o código correspondente foi removido de versões posteriores do ransomware, o que eles acreditam que seria improvável se tivesse sido planejado para enganar os pesquisadores sobre os indícios dos criminosos reais. A sobreposição só aparece em uma amostra de fevereiro.
"Acreditamos que uma teoria de uma bandeira falsa, embora possível, é improvável", explica a Kaspersky Lab no blog da empresa.
Lazarus Group é mais conhecido por hackear a Sony Pictures em 2014 para protestar contra o filme "The Interview". Mas, recentemente, tem sido associada a uma série de roubos de bancos digitais que, em um caso, roubaram US$ 81 milhões do banco central do Bangladesh. Os roubos, segundo muitos suspeitos, proporcionam um fluxo de receitas enquanto o país enfrenta sanções incapacitantes.
A Kaspersky Lab descreve o código de sobreposição como uma peça significativa de evidência, mas não acredita que ele resolve o caso.
