Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

вот привязать киберпреступление к паре рук на клавиатуре, которые его совершили, — задача не из лёгких. Представьте: вы получаете от меня мутное письмо и в результате попадаетесь на удочку мошенников. Потом вы пытаетесь отдать меня под суд. Доказывать свою непричастность я могу на разные лады. Может, мой аккаунт взломали? Может, я дал пароль от почты кому-то ещё, а тот зашёл и отправил злополучное письмо? Как доказать, что обманул вас именно я — бесспорно, неопровержимо?

Именно эта задача стояла в 2016 году перед Тони Льюисом из федеральной прокуратуры и его коллегами из ФБР, расследовавшими взломы Sony Pictures Entertainment и Банка Бангладеш. Свалить атаки на группировку Lazarus было мало. Призрачной хакерской банде уголовное обвинение не предъявишь. Нужны были имена. Требовалось установить, какие конкретно люди стоят за взломом.

Поэтому следователи заново перебрали данные в поисках начала цепочки улик — одной ниточки, потянув за которую можно распутать дело и выйти на личности конкретных хакеров.

Помните yardgen@gmail.com — адрес, с которого взламывали обе жертвы? Благодаря ордерам, предъявленным технологическим компаниям, ФБР накопило массу данных об этом и других почтовых аккаунтах, в том числе идентификаторы компьютеров, с которых в них входили, и IP-адреса, через которые эти компьютеры выходили в интернет. Выяснилось, что 6 сентября 2014 года один и тот же компьютер с одного и того же IP-адреса заходил и в yardgen, и в другой почтовый аккаунт — tty198410@gmail.com. Значит, обоими аккаунтами пользовался один и тот же человек или одни и те же люди. Между двумя адресами ходили письма. И не просто письма — это были точно такие же мошеннические сообщения под видом уведомлений Facebook, какими позже атаковали актёров и съёмочную группу «Интервью». Вывод напрашивался сам собой: владелец этих двух аккаунтов, кто бы он ни был, в недели перед взломом сочинял с их помощью фишинговые письма. Очевидно, tty198410@gmail.com был частью сети онлайн-аккаунтов, через которые взломали Sony.

Оказалось, что это не единственная связь между tty198410@gmail.com и атакой. С того же адреса завели аккаунт в Facebook на имя Андосона Дэвида — той самой персоны, что писала звёздам «Интервью» и уговаривала их скачать фото голых знаменитостей с припрятанным внутри компьютерным вирусом. И это лишь одна из целой череды связей между этим почтовым аккаунтом и взломами2.

ФБР копнуло аккаунт tty198410@gmail.com глубже и выяснило, что он служил резервным адресом для ещё одного аккаунта Gmail — watsonhenny@gmail.com. Это насторожило следователей: аккаунт watsonhenny был множеством нитей связан с обоими взломами. В его адресной книге нашлись тридцать семь разных адресов сотрудников Банка Бангладеш, а ещё с него рассылали фишинговые письма британской телекомпании, которая снимала сериал о Северной Корее. Хакеры атаковали эту компанию одновременно с Sony. Стало ясно, что адрес watsonhenny@gmail.com — ещё одно ключевое звено сети, через которую велась атака.

Взявшись за аккаунт watsonhenny, следователи ФБР наткнулись на ошеломляющую зацепку. Они обнаружили письма, которые в апреле и мае 2015 года отправлял с этого аккаунта некто, называвший себя представителем правительства КНДР. Он переписывался с кем-то в Австралии и обсуждал сделки по углю и металлу. В переписке австралийский собеседник утверждал, что он крупная фигура в зарубежной деловой империи Северной Кореи и докладывает напрямую лидеру страны Ким Чен Ыну3.

Благодаря ордерам по делу Sony группа ФБР вдруг оказалась невольным слушателем разговора, который, судя по всему, шёл между политическими и коммерческими структурами Северной Кореи. Если у следователей и оставались сомнения, что за взломами стоит КНДР, это почти наверняка помогло их развеять.

(Австралийский собеседник оказался вполне реальным. Это был 62-летний Чхве Чхан Хан: в 2017 году его арестовали в Сиднее и приговорили к трём с лишним годам тюрьмы за попытку продать Индонезии детали северокорейских ракет в нарушение санкций ООН4.)

Теперь следователи ФБР вернулись к адресу tty198410@gmail.com — тому самому, через который взламывали Sony. Если понять, кто за ним стоит, возможно, найдётся и подозреваемый. И действительно, начала проступать сеть других аккаунтов — почтовых, в Facebook и в Twitter, — и все на имя «Ким Хён У». Связей становилось всё больше: из двадцати почтовых аккаунтов и аккаунтов в соцсетях, с которых атаковали Sony и Банк Бангладеш, половина была связана с загадочным Ким Хён У.

Так, может, это и есть настоящее имя хакера? Нет. Чем глубже следователи распутывали зацепки, тем яснее становилось, что Ким Хён У — очередная марионеточная персона, созданная киберпреступниками. Тот, кто взломал Sony и Банк Бангладеш, спрятался, как в матрёшке, под множеством слоёв фальшивок — цифровой дымовой завесой, которая должна была сбить преследователей со следа. Но персона Ким Хён У подбросила любопытную зацепку, и на этот раз вместо тупика она открыла поразительное окно в настоящую жизнь хакеров.

Несколько аккаунтов Ким Хён У были связаны с почтовым ящиком surigaemind@hotmail.com. Как выяснило ФБР, его завели 23 сентября 2010 года на имя Чин Хёк Пак. Через пару месяцев с его помощью зарегистрировали аккаунт в Facebook на то же имя. Потом — аккаунт в Twitter с ником @ttypkj, на имя Пак Чин Хёк. («Пак» — примерно то же, что западная фамилия «Смит», только корейцы ставят её то в начало имени, то в конец5.) На руку следователям ФБР оказалось и то, что 29 апреля 2011 года владелец адреса surigaemind отправил сам себе письмо с темой «Моё текущее местоположение». GPS-координаты указывали на безликую группу зданий у эстакады в китайском портовом городе Далянь, километрах в трёхстах от северокорейской границы. ФБР подбиралось к Пак Чин Хёку. Но тогда ещё нельзя было знать наверняка, что это не очередная онлайн-персона, которая скрывается под очередным вымышленным именем.

Продолжая изучать ящик surigaemind, следователи нашли письма с подписью «Чин Хёк». Речь в них шла о проектах, над которыми он работал для компании Chosun Expo. Компания находилась в Даляне — в том самом городе, который владелец ящика указал как своё местоположение. След становился всё горячее, а связи с Северной Кореей всплывали одна за другой. Изначально Chosun Expo задумывалась как экспериментальное совместное предприятие Северной и Южной Кореи — возможность для двух стран вести общие проекты, но в какой-то момент Юг из него вышел. Архивная версия сайта компании показывает, что дальше её путь изрядно петлял: от торговли грибами и вазами до программирования на заказ6.

Но действительно ли Chosun Expo имела отношение к взломам? Может, у связей между компанией, Пак Чин Хёком и хакерскими атаками есть невинное объяснение. Может, Пак просто вёл свою игру: работал в Chosun Expo над вполне законными проектами, а потом со своего адреса surigaemind создал огромную сеть аккаунтов, через которую