# Maui Ransomware
> [!high] Ransomware Operado Manualmente - DPRK contra Saúde
> Maui é um ransomware customizado da Coreia do Norte, operado manualmente pelo grupo **Andariel** (subgrupo do Lazarus), utilizado contra organizações de saúde nos EUA desde maio de 2021. Diferentemente de ransomware automatizado, o Maui requer operação manual interativa pelo atacante, indicando operação estatal de precisão voltada ao financiamento do programa nuclear da DPRK.
## Visão Geral
Maui é um ransomware desenvolvido pela unidade [[g0138-andariel]] do [[g0032-lazarus-group]] da Coreia do Norte (DPRK), identificado pelo FBI em julho de 2022 após investigações de ataques contra o setor de saúde americano. O malware é singular entre ransomwares por não possuir função de auto-propagação nem implantação automatizada - cada ataque requer operação manual ativa por um operador norte-coreano durante toda a execução.
Esta característica de operação manual reflete a motivação do grupo: o governo da DPRK financia operações cibernéticas como fonte de receita para contornar sanções internacionais. Ataques de ransomware contra hospitais americanos geram pagamentos em dólar ou criptomoedas que financiam o programa de armas nucleares e balísticas do regime. A escolha do setor de saúde como alvo maximiza a pressão pelo pagamento rápido, dado o impacto crítico em vidas humanas.
Em 2022, o FBI e a CISA públicaram o aviso conjunto AA22-187A específicamente sobre o Maui, alertando que o grupo comprometeu hospitais e sistemas de saúde nos EUA entre maio de 2021 e maio de 2022, incluindo pelo menos um grande hospital universitário que ficou sem acesso a sistemas críticos por mais de uma semana.
## Como Funciona
**Entrega e acesso inicial:**
O acesso inicial ao ambiente alvo tipicamente ocorre via exploração de vulnerabilidades em VPNs e RDP públicos, ou via spear-phishing direcionado a funcionários hospitalares. O [[g0138-andariel]] usa ferramentas customizadas de reconhecimento antes de implantar o Maui.
**Processo de criptografia manual:**
1. Operador acessa o ambiente via backdoor ou ferramenta de acesso remoto
2. Reconhecimento manual dos sistemas e arquivos de maior valor (HIS, PACS, EMR)
3. Seleção manual dos arquivos e diretórios alvo para criptografia
4. Execução do Maui com parâmetros específicos por linha de comando
5. Criptografia seletiva por tipo de arquivo: RSA para chaves AES, AES-128 para arquivos
6. XOR adicional com chave derivada do nome do arquivo para obfuscação
7. Nota de resgate gerada com instruções para contato via email
**Características técnicas:**
- Implementado em C++ com criptografia híbrida (AES-128 + RSA-2048)
- Sem capacidade de autopropagação
- Sem comunicação C2 automática durante a criptografia
- Logs locais de operações para rastreamento interno do atacante
## Attack Flow
```mermaid
graph TB
A["🎯 Alvo Hospitalar<br/>EUA - setor saúde<br/>sistemas críticos"] --> B["🔓 Acesso Inicial<br/>VPN/RDP explorado<br/>spear-phishing"]
B --> C["👁️ Reconhecimento Manual<br/>Operador DPRK identifica<br/>HIS, PACS, EMR"]
C --> D["⬆️ Escalada<br/>Credenciais admin<br/>movimento lateral"]
D --> E["📦 Implantação Maui<br/>Executável via<br/>linha de comando"]
E --> F["🔒 Criptografia Seletiva<br/>AES-128 + RSA-2048<br/>arquivos críticos"]
F --> G["💰 Extorsão<br/>Contato por email<br/>pagamento em cripto"]
G --> H["🏥 Impacto Crítico<br/>Sistemas de saúde<br/>indisponíveis"]
```
**Legenda:** [[g0138-andariel]] · [[g0032-lazarus-group]] · [[t1486-data-encrypted-for-impact|T1486]] · [[t1082-system-information-discovery|T1082]]
## Timeline
```mermaid
timeline
title Maui Ransomware - Linha do Tempo
2021-05 : Primeiros ataques
: Hospitais americanos afetados
: Operação DPRK iniciada
2021-2022 : Campanha sustentada
: Pelo menos 1 hospital universitário
: FBI inicia investigação
2022-07 : Aviso conjunto FBI e CISA
: AA22-187A publicado
: DPRK Andariel atribuídos
2022-07 : Análise técnica
: Stairwell publica relatório
: Detalhes do encryptor revelados
2023-2024 : Evolução das operações
: Andariel usa novas ferramentas
: Maui em menor uso
```
## TTPs MITRE ATT&CK
| Técnica | ID | Descrição |
|---------|-----|-----------|
| Data Encrypted for Impact | [[t1486-data-encrypted-for-impact\|T1486]] | AES-128 + RSA-2048, seleção manual de alvos |
| Windows Command Shell | [[t1059-003-windows-command-shell\|T1059.003]] | Execução via parâmetros de linha de comando |
| System Information Discovery | [[t1082-system-information-discovery\|T1082]] | Reconhecimento manual de sistemas críticos |
| File and Directory Discovery | [[t1083-file-and-directory-discovery\|T1083]] | Enumeração de arquivos HIS, PACS, EMR |
| Clear Windows Event Logs | [[t1070-001-clear-windows-event-logs\|T1070.001]] | Remoção de logs para anti-forense |
| Process Injection | [[t1055-process-injection\|T1055]] | Injeção em processos legítimos |
| Ingress Tool Transfer | [[t1105-ingress-tool-transfer\|T1105]] | Download de ferramentas auxiliares |
## Relevância para o Brasil e LATAM
O grupo [[g0138-andariel]] e o padrão de ataques ao setor de saúde têm implicações diretas para o Brasil:
**Histórico do Andariel na LATAM:**
- O grupo [[g0138-andariel]] realizou ataques contra hospitais e centros de pesquisa na América do Sul em 2022-2024
- Hospitais brasileiros de grande porte (especialmente universitários e federais) são alvos potenciais pelo valor estratégico dos dados
- O setor de [[healthcare|saúde]] brasileiro tem baixa maturidade de segurança e alta dependência de sistemas legados
**Contexto geopolítico:**
- A DPRK usa ataques de ransomware a hospitais como fonte de receita para contornar sanções da ONU
- O Brasil não impõe sanções à DPRK bilateralmente, mas organizações brasileiras vinculadas a parceiros americanos podem ser alvos indiretos
**Implicações regulatórias:**
- O Ministério da Saúde públicou alertas específicos sobre ransomware em hospitais após os ataques americanos
- A [[lgpd|LGPD]] e as normas da ANS exigem notificação imediata de incidentes que comprometam dados de pacientes brasileiros
## Detecção e Defesa
**Indicadores de comprometimento:**
> [!ioc]- IOCs - Maui Ransomware (TLP:GREEN)
> **Extensão de arquivo criptografado:**
> `.maui` adicionado aos arquivos originais
>
> **Nota de resgate:**
> `README.html` com instruções de contato por email
>
> **Artefatos de log:**
> Arquivo de log gerado pelo Maui em diretório temporário
> Registros de operações manuais do atacante no sistema
>
> **Fonte:** [FBI/CISA AA22-187A](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-187a) · [Stairwell Analysis](https://stairwell.com)
**Mitigações prioritárias:**
- Implementar backups offline e testados para sistemas HIS, PACS e EMR hospitalares
- Restringir acesso VPN e RDP com MFA obrigatório para funcionários hospitalares
- Segmentar redes médicas (IoMT) da rede administrativa
- Monitorar execução de processos com parâmetros de criptografia de arquivos em lote
- Manter inventário de sistemas críticos e plano de continuidade de negócios testado
## Referências
- [1](https://www.cisa.gov/news-events/cybersecurity-advisories/aa22-187a) FBI/CISA/Treasury - StopRansomware: Maui Ransomware AA22-187A (2022)
- [2](https://stairwell.com/news/threat-research-report-maui-ransomware/) Stairwell - Maui Ransomware Technical Analysis (2022)
- [3](https://attack.mitre.org/software/S1167/) MITRE ATT&CK - Maui S1167
- [4](https://www.mandiant.com/resources/blog/north-korea-dprk-cyber-threat) Mandiant - DPRK Cyber Operations and Revenue Generation (2022)
- [5](https://www.bleepingcomputer.com/news/security/fbi-shares-iocs-for-north-korean-maui-ransomware-operations/) BleepingComputer - FBI Shares IOCs for North Korean Maui Ransomware (2022)
- [6](https://www.hhs.gov/sites/default/files/maui-ransomware-analyst-note.pdf) HHS - Maui Ransomware Analyst Note for Healthcare (2022)