Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

«Некоторые аккаунты использовались и для атаки на Sony Pictures, и для разведки и атаки на Банк Бангладеш», — говорит Тони Льюис. Помощник федерального прокурора Центрального округа Калифорнии, он занимался делом Sony Pictures Entertainment с конца 2014 года. Теперь Льюис с коллегами взялись и за дело Банка Бангладеш.

Внимательные читатели вспомнят, что первое целевое фишинговое письмо пришло в Банк Бангладеш с адреса yardgen@gmail.com. Льюис и его коллеги из ФБР начали заново перебирать зацепки по делу Sony и обнаружили, что этот же адрес не раз всплывал в расследовании12. Ещё до взлома с него искали в интернете сведения об одном из актёров фильма «Интервью», который, по данным властей США, и стал поводом для атаки на Sony. Но это ведь не преступление, правда? Может, владелец адреса yardgen в Gmail просто большой поклонник знаменитостей, а между делом балуется взломом банков на многие миллионы?

И ФБР копнуло глубже. Бюро удалось получить доступ к адресной книге аккаунта yardgen в Gmail (почти наверняка благодаря ордерам на обыск, которые ФБР направило в Google и подобные компании). По данным ФБР, в адресной книге нашлось кое-что любопытное: адреса электронной почты, соответствующие именам трёх актёров фильма, написанным семнадцатью разными способами. Ладно, может, владелец аккаунта очень уж любил знаменитостей и пытался связаться с ними, угадывая их адреса?

Потом, по словам ФБР, в аккаунте yardgen нашлось целевое фишинговое письмо, оформленное под уведомление Facebook и адресованное одному из актёров фильма. Потом — ссылки на аккаунт Андосона Дэвида в Facebook, той самой персоны, которая пыталась хитростью заставить актёров «Интервью» скачать заражённые вирусом фото голых знаменитостей. А потом выяснилось, что с того же адреса Gmail искали в интернете способы компьютерного взлома.

Чем дольше ФБР искало, тем больше находило связей между ограблением Банка Бангладеш и разными почтовыми аккаунтами и аккаунтами в соцсетях, через которые взламывали Sony. «Между аккаунтами, которые использовались в каждом из этих дел, были связи, но были и такие аккаунты, с которых атаковали обе жертвы», — говорит Льюис.

Сходство нашлось и в коде использованных вирусов. Во время атаки на Банк Бангладеш хакеры с помощью MACKTRUCK заворачивали весь свой обмен данными в слой шифрования. В коде вируса ФБР обнаружило таблицу с тремя IP-адресами, которые служили для этого шифрования. Ту же самую таблицу с теми же IP-адресами следователи нашли и среди вирусов, которыми взломали Sony.

Конечно, киберпреступники иногда копируют друг у друга код, но IP-адресами, как правило, не делятся: иначе все их сочные украденные данные могут оказаться в руках другой киберпреступной банды, работающей с того же IP-адреса. Никакого смысла. Для ФБР то, что в обеих атаках использовались одни и те же адреса, стало ещё одним доказательством: за ними стоит одна и та же банда.

Теперь в ФБР считали, что и на Sony, и на Банк Бангладеш напала группировка Lazarus. Это был ошеломляющий поворот. Элитная хакерская команда Северной Кореи успешно нанесла серьёзный ущерб одной из крупнейших корпораций Америки, а теперь крала сотни миллионов долларов у национальных банков, которые считались неприступными. И всё это — за каких-то пару лет.

Но это было не единственное открытие, ожидавшее следователей ФБР. Копая всё глубже в залежах почтовых аккаунтов и аккаунтов в соцсетях, через которые проводились обе атаки, они обнаружат нечто невероятное. До сих пор хакеры Lazarus оставались безымянными тенями и вели свою цифровую войну под фальшивыми личинами. Скоро это изменится. По данным ФБР, улики столкнут следователей лицом к (виртуальному) лицу с одним из ключевых членов группировки Lazarus. А его история, изложенная в деле, которое Бюро возбудило против него, прольёт свет на запутанную и захватывающую эволюцию хакерской армии Северной Кореи и её крепнущие связи с организованной преступностью. С Lazarus вот-вот сорвут маску.

8

Киберрабы

2011 год выдался у Пак Чин Хёка хлопотным. Ему было двадцать шесть, родился он в Северной Корее, но, в отличие от подавляющего большинства сограждан, смог выехать из страны и теперь на себе узнавал, насколько иной бывает жизнь во внешнем мире. И всё благодаря его востребованным навыкам.

Пак был асом в ИТ и свободно владел несколькими языками программирования. Он окончил престижный пхеньянский Политехнический университет имени Ким Чхэка, куда рвутся честолюбивые молодые технари, и пробился в почётную, едва ли не священную профессию. Теперь Пак был компьютерным специалистом на службе у северокорейского правительства. В таком иерархическом обществе, как северокорейское, подобный престиж мог переменить жизнь не только его самого, но и всей его семьи.

И, как и следовало ожидать, в конце концов он получил одну из самых заманчивых наград, какие только может пожаловать режим, — поездку за границу. Его отправили в китайский Далянь, километрах в трёхстах от северокорейской границы. Китай — давний союзник КНДР, и ту горстку избранных, кого режим посылает работать за рубеж, отправляют туда довольно часто. И всё же для Пака это наверняка стало сильнейшим культурным шоком. В Даляне его ждали кофейни Costa Coffee, с десяток «Макдоналдсов» и даже супермаркет Tesco1. Ничего общего с широкими, но пустыми улицами Пхеньяна и скудным выбором, который большинство горожан находит в его магазинах.

Официально он работал в компании, которая делала онлайн-игры: заводил почтовые аккаунты, настраивал серверы, искал технические уязвимости — для специалиста вроде Пака обычные будни. Но, по данным следствия, он вёл двойную жизнь и применял свои навыки в деле, которое было совсем не игрой.

Впрочем, в 2011 году у Пака на уме было другое. В сентябре ему предстояло вернуться в Северную Корею и жениться на невесте (он называл её «товарищем»). Потом он снова поедет работать в Китай, а дальше — кто знает? Если он хорошо послужит режиму, его могут наградить приличной квартирой в Пхеньяне. Хорошая мебель. Большой телевизор. Как раз то, что нужно мужчине, который начинает семейную жизнь.

Но сначала Паку предстояло расплатиться с режимом за годы учёбы и лакомое назначение за границу. По словам следователей, которые утверждают, что отследили его передвижения в сети, своими навыками он поможет провести одни из самых разрушительных кибератак в мире. Погоня за ним завела их на извилистую тропу через цифровые дебри. Но как бы искусно Пак ни заметал следы, вечно скрывать свою тайную жизнь он не сможет.

Для прокуроров киберрасследование сводится к одному: выстроить цепочку улик, ведущую от преступления к подозреваемому, и по пути не оставить ему ни одной лазейки, чтобы увильнуть от ответственности. В обычном, физическом преступлении отпечатки пальцев, ДНК, волокна одежды — веские улики, которые могут связать преступника с местом преступления. А