Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

ещё и название иранского судна, попавшего под санкции». Одного упоминания слова «Юпитер» хватило, чтобы в автоматических компьютерных системах ФРБ зазвенел сигнал тревоги. «Из-за этого красного флажка ФРБ проверил всю партию платёжных поручений. И сообразительный сотрудник ФРБ Нью-Йорка заметил, что с этими поручениями что-то не так», — говорит Мэлони.

Из-за одного-единственного слова ограбление начало буксовать. ФРБ Нью-Йорка остановил большинство из тридцати четырёх транзакций. Но не все. Четыре транзакции прошли. Вместе с первым успешным переводом их набралось пять, в общей сложности на сумму чуть больше 101 млн долларов. Не то, на что рассчитывали хакеры, но для Бангладеш всё равно огромный удар. Посол Бангладеш на Филиппинах Джон Гомес выразил то, что чувствовали многие его соотечественники: «Я глубоко потрясён, что эти деньги, заработанные нашими трудолюбивыми крестьянами и нашими рабочими, [украли]. Это их деньги. Это деньги бедняков. Это деньги рабочих. Поэтому особенно больно»5.

Вот чего нечасто увидишь в гламурных фильмах об ограблениях: реальных последствий преступления. Украденные деньги принадлежат не каким-нибудь богатым банкирам или состоятельным компаниям — это собственные средства государства. А в такой стране, как Бангладеш, где больше десятой части населения живёт в бедности, они жизненно необходимы6.

Теперь в финансах страны зияла дыра в 101 млн долларов — деньги уплывали к шайке компьютерных хакеров, которым даже не пришлось приезжать в Бангладеш, не говоря уже о штаб-квартире банка в Дакке. Своё ограбление они провернули, не вставая из-за клавиатуры, в полной безопасности. Но ещё поразительнее, как потом выяснят следователи, то, что они больше года терпеливо сидели внутри банка, выжидая самый подходящий момент для удара.

29 января 2015 года, чуть больше чем за год до попытки украсть миллиард, сотрудники Банка Бангладеш и ещё нескольких крупных финансовых учреждений Дакки получили вежливое письмо от соискателя с адреса yardgen@gmail.com. Он писал (sic):

Я Расел Ахлам, я чрезвычайно воодушевлён идеей стать частью вашей компании и надеюсь, что вы дадите мне возможность представить моё дело более подробно на личном собеседовании. Вот моё резюме и сопроводительное письмо. Заранее благодарю за ваше время и рассмотрение7.

Ахлам приложил ссылку на сайт, откуда можно было скачать его резюме. Однако всякий, кто это делал, вместе с резюме, сам того не ведая, скачивал и вирус8. Письмо Ахлама было фишинговой атакой — точно такой же, какая так успешно сработала против Sony Pictures Entertainment и бесчисленных других жертв киберпреступников. Если компьютер был плохо защищён, скачанная вредоносная программа открывала хакерам доступ к жертве. По меньшей мере один сотрудник Банка Бангладеш попался на уловку и скачал вирус. Выходит, хакеры сразу сорвали джекпот? Не совсем.

Прежде чем хотя бы задуматься о краже денег, им предстояло решить целый ряд задач. Во-первых, что, если человек, чей компьютер они только что заразили, выключит его и снова включит? Вирус перестанет работать, и хакеры останутся за дверью. Поэтому они подсадили на компьютер жертвы программу под названием NESTEGG — первую из целой серии программ с мудрёными названиями, которыми потом вскроют Банк Бангладеш9. NESTEGG давала хакерам то, что технари называют «постоянным доступом»: даже если жертва перезагружала компьютер, вирус никуда не девался и продолжал незаметно работать в фоновом режиме.

Теперь можно было браться за следующую задачу.

Скорее всего, взломанный компьютер принадлежал кому-то из отдела кадров — самой очевидной мишени для фишингового письма, замаскированного под послание от будущего сотрудника. Но у кадровиков, как правило, нет доступа к хранилищам. Так что, чтобы украсть деньги, хакерам предстояло как-то пробраться через компьютерную сеть Банка Бангладеш к машинам, которые распоряжались средствами.

Для этого они пустили в ход программу, которую следователи потом окрестят SIERRACHARLIE. Она искала другие компьютеры, подключённые к той же сети, и пыталась подключиться и к ним. Так хакеры могли расползаться по системам банка, перепрыгивая с машины на машину, пока не доберутся до цели.

Последняя задача — проделать всё это так, чтобы ничего не заметил IT-отдел банка. Для этого хакеры задействовали ещё один инструмент, под названием MACKTRUCK. Он создавал зашифрованный канал связи с каждым заражённым компьютером — в обе стороны. Теперь хакеры могли отдавать команды своим машинам-рабам и выкачивать данные из банка, и всё это было скрыто шифрованием, так что сотрудники не видели, что происходит.

Из моего описания может показаться, что для опытного технаря все эти шаги — дело относительно несложное, но это далеко не так. Среди публики бытует миф, будто хакеры наделены божественным всемогуществом: мгновенно разбираются в компьютерной сети любой организации и атакуют её как им заблагорассудится. В реальности всё зачастую совсем иначе. Чаще всего хакеры вламываются в незнакомую среду, и двигаться им приходится осторожно, всё время рискуя попасться. Представьте себе грабителя, которого забросили посреди тёмного дома со слабеньким фонариком. В любую секунду можно на что-нибудь налететь и поднять тревогу. Нервы на пределе.

«Главный риск, очевидно, — что тебя обнаружат. Поэтому они стараются действовать как можно незаметнее и не выдать себя», — говорит Эрик Чиен. Уж он-то знает: он один из самых известных в мире исследователей кибербезопасности.

Боевое крещение Чиен получил на вирусе Stuxnet — пугающе изощрённой программе, которую часто называют первым в мире «кибероружием». Stuxnet запустили в компьютерную сеть иранского завода по обогащению урана, где, как считали многие за пределами Ирана, создавали материал для ядерного оружия. Вирус искусно посеял хаос среди центрифуг завода — ключевого звена процесса обогащения — и серьёзно подорвал его производительность.

Чиен, сотрудник Symantec, дочерней компании Broadcom, был в костяке команды, которая разобрала Stuxnet по косточкам и выяснила, что его создали для удара по одному конкретному ядерному объекту — чтобы тайно вывести из строя его оборудование (многие СМИ приписывали эту кибератаку давним врагам Ирана — США и Израилю, но ни та, ни другая страна этого не подтвердила)10.

Теперь Чиен взялся за взлом Банка Бангладеш и начал по кусочкам восстанавливать картину: как хакерам удалось так глубоко проникнуть в компьютерные системы банка — с такими катастрофическими последствиями.

Он начал понимать, как хакеры, взломав один компьютер, использовали его как трамплин, чтобы прыгать дальше по сети: «У них есть доступ к машине, и они, по сути, роются на этой машине в поисках других учётных данных — других имён пользователей и паролей. Потом с этими учётными данными они [спрашивают у компьютера]: „Эй, какие машины подключены к этой машине?“ И просто пробуют эти учётные данные и пытаются перепрыгнуть с одной машины на другую. И повторяют, и прокручивают это снова и снова».

Как только хакеры перебрались с менее важного компьютера на более важный, доступ к первому им больше не нужен. Поэтому они стирают с него свои