Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

вирусы, чтобы их продвижение было труднее отследить, объясняет Чиен. «Даже если за это время они заразили десятки или даже сотню разных машин, в каждый конкретный момент они активно сидят, может быть, всего на паре. Служба информационной безопасности Банка Бангладеш вполне могла заметить, что какая-то машина заражена, но потом подумать: „О, теперь она вычищена“, — не понимая, что атакующие на самом деле всё ещё у них в сети».

Целью атакующих были компьютеры, управлявшие SWIFT, — по сути, ключи от сейфа: с них можно было отправлять запросы на перевод огромных сумм. К 29 января 2016 года, ровно через год после первого фишингового письма, хакеры сорвали джекпот — наконец добрались до терминала SWIFT. Банковский миллиард был уже дразняще близко. Но возникла проблема. Хакеры поняли, что Банк Бангладеш регистрирует все свои SWIFT-транзакции в компьютерной системе. А это серьёзная загвоздка, потому что, как указывает Чиен, «если бы [сотрудник банка] заметил, что проходят эти международные переводы, он мог бы их заблокировать или отменить. Можно было отправить SWIFT-сообщения другому банку: „Отмените эту транзакцию, верните средства, пожалуйста“». Хакеры, понятное дело, рисковать так не хотели. Поэтому им нужно было удалить цифровые записи, чтобы в Банке Бангладеш от переводов не осталось и следа. А это значило взломать установленную в банке программу SWIFT и изменить её код. Звучит сложно, но в итоге всё оказалось на удивление просто, а то, как они это проделали, — невероятно элегантный образец искусства компьютерного взлома.

Настолько элегантный, что на код стоит взглянуть поближе (а если вы никогда раньше не видели компьютерного кода, не волнуйтесь: я всё объясню). Вот как он выглядит11:

85 C0             test eax, eax75 04             jnz failed33 c0             xor eax, eaxeb 17             jmp exit                  failed:B8 01 00 00 00    mov eax, 111

Если вы не технарь, всё это, наверное, выглядит мешаниной бессмысленных букв и цифр. Но если разбирать строку за строкой, смысл начинает проступать. Вот что означает каждая строка:

85 C0    test eax, eax

Эта строка — какая-то важная проверка: правильный ли пароль вы ввели? С того ли компьютера работаете? Из той ли сети входите в систему?

75 04    jnz failed

Если вы не прошли проверку выше, переходите к строке с меткой «failed» внизу. Если прошли — переходите к следующей строке.

33 c0    xor eax, eax

Вы прошли проверку — успех!

eb 17    jmp exit

Проверка завершена, так что смело начинайте работать со SWIFT.

                  failed:B8 01 00 00 00    mov eax, 1

Вы не прошли проверку, так что работать со SWIFT вам нельзя, извините.

Итак, ключевая строка — вторая, верно? Та, что велит при непройденной проверке переходить к строке «failed». Если её обойти, мы попадём прямиком на строку успеха и сможем начать работать со SWIFT. Именно это и сделали хакеры, взломавшие Банк Бангладеш. Они изменили код вот так:

85 C0             test eax, eax90                nop90                nopeb 17             jmp exit                  failed:B8 01 00 00 00    mov eax, 1

Возможно, вам покажется, что разница невелика. Изменения и правда маленькие, но очень-очень существенные. Потому что теперь код означает вот что:

85 C0    test eax, eax

Эта строка — какая-то важная проверка: правильный ли пароль вы ввели? С того ли компьютера работаете? Из той ли сети входите в систему?

90    nop

Ничего не делать.

90    nop

Ничего не делать.

33 c0    xor eax, eax

Вы прошли проверку — успех!

eb 17    jmp exit

Проверка завершена, так что смело начинайте работать со SWIFT.

                  failed:B8 01 00 00 00    mov eax, 1

Вы не прошли проверку, так что работать со SWIFT вам нельзя, извините.

Строка «failed» по-прежнему стоит в самом низу кода, но знаете что? Мы до неё никогда не дойдём: строка, которая нас туда отправляла, исчезла.

Изменение было крошечным — всего несколько символов в коде. Но оно превратило компьютерное «нет» в «да» и распахнуло цифровые двери банковского хранилища, где лежал миллиард долларов. В этом и красота компьютерного кода: всего несколько букв и цифр способны обладать огромной силой. Это как нож мастера суши: чтобы научиться толком им владеть, могут уйти годы, но, когда рука набита, хватает нескольких движений.

Теперь у хакеров был доступ к базе данных SWIFT, они могли стереть все следы своих запросов на перевод, и банк ни о чём бы не догадался.

Ну, вообще-то не совсем… Хакерам оставалось преодолеть последнее препятствие. Знаете, есть люди, которые не доверяют компьютерам? Которым для спокойствия всегда нужна бумажная распечатка? Банк Бангладеш не был исключением. У цифровых записей о переводах через SWIFT там имелась резервная копия — принтер в помещении на десятом этаже. Его задачей было выдавать бумажные подтверждения каждого SWIFT-перевода.

«Атакующим нужно было как-то обойти все бумажные распечатки транзакций», — говорит Эрик Чиен. Поэтому они взломали ту часть программы SWIFT, которая отправляет команды принтеру. «Каждый раз, когда программа пыталась отправить документ на печать, они просто забивали нулями файлы с содержимым для печати. Так что ничего не печаталось. Вместо этого в принтере была просто куча чистой бумаги».

В фильмах об ограблениях часто бывает сцена, где воры перехватывают управление камерами наблюдения и подменяют запись, чтобы хранилище выглядело пустым, пока банда делает своё дело. Здесь был хакерский вариант того же трюка.

Сбой принтера, который Бин Худа и его коллеги приняли за обычную офисную неполадку, на самом деле был последним этапом тщательно проведённого цифрового взлома, который готовили целый год.

Следы были заметены, и ограбление можно было начинать. К этому времени хакеры уже нашли миллиардный счёт Банка Бангладеш в ФРБ Нью-Йорка и, пользуясь доступом к SWIFT, отправили запросы на перевод. Но, получив их, ФРБ насторожился. «Никто не переводит миллиард долларов за один день», — говорит Ракеш Астхана. «И они запросили у Банка Бангладеш разъяснений, отправив вот эти SWIFT-сообщения: „Что всё это значит?“»

Но принтер, который должен был распечатывать эти SWIFT-сообщения от ФРБ, хакеры, разумеется, вывели из строя, и он выдавал одни чистые листы. Поэтому срочные запросы ФРБ сотрудники банка увидели лишь в субботу, когда наконец починили принтер.

«И нате вам: они видят все эти запросы на разъяснения, пришедшие из Федерального резервного банка Нью-Йорка. А там их спрашивают: „Зачем вы отправили эти транзакции на миллиард долларов?“» — говорит Астхана.

Но, как мы уже видели, к тому времени сотрудники Банка Бангладеш не могли связаться с ФРБ: в Нью-Йорке были выходные, и контактные номера не отвечали.

Когда стали ясны масштаб и изощрённость взлома, поразились даже такие ветераны, как Эрик Чиен. «Мы никогда не видели подобной атаки — с переводом стольких миллионов долларов. Это было нечто беспрецедентное. Никто в здравом уме, ни один из киберпреступников, которых мы видели раньше, не пытался перевести из банка миллиард долларов. Это было поразительно».

Насторожились не только люди из банковского мира и исследователи кибербезопасности. Взлом неизбежно привлёк и внимание ФБР. Особенно он заинтересовал группу, которая с конца 2014 года расследовала проникновение в Sony Pictures Entertainment