Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

ФБР продолжало копать. Выяснилось, что на сайт Chosun Expo заходили с тех же северокорейских IP-адресов, с которых входили в сеть почтовых аккаунтов хакеров. Выходило, что тот, кто вёл сайт компании, участвовал и в кибератаках. ФБР также утверждало, что у него есть свидетель, который лично имел дело с Chosun Expo: по его словам, за сотрудниками компании присматривал северокорейский политический атташе, а большую часть их зарплаты отправляли обратно в КНДР7. Чем пристальнее ФБР вглядывалось в Chosun Expo, тем больше находило связей с Северной Кореей и со взломами Sony и Банка Бангладеш. Теперь в Бюро считали, что компания — ширма для северокорейских хакеров8.

А потом ФБР сорвало джекпот. Нашлась переписка одного из руководителей отделов Chosun Expo с клиентом, который пользовался услугами её программистов. В январе 2011 года начальник отдела написал, что в команду в Даляне приходит новый разработчик — «Пак Чин Хек», англоязычный вариант имени Пак Чин Хёк. К письму прилагалось резюме Пака. В нём говорилось, что он пришёл в Chosun Expo в 2002 году «разработчиком онлайн-игр», окончив Политехнический университет имени Ким Чхэка. Там же перечислялись его навыки программирования (в том числе Visual C++ — один из языков, на которых написаны некоторые вредоносные программы, применявшиеся в атаках группировки Lazarus).

Для следователей это была потрясающая удача. Теперь они считали, что Пак Чин Хёк — не мутная онлайн-персона, а человек из плоти и крови. «Там было его имя, где он учился, на каких языках говорил, какими языками программирования владел, день рождения. То есть такие биографические подробности, которые прямо показывали: это реальный человек», — говорит Тони Льюис, помощник федерального прокурора, который помогал группе ФБР связать взлом Sony с ограблением Банка Бангладеш.

Но в резюме нашлось кое-что ещё более неожиданное — фотография самого Пак Чин Хёка.

Можете взглянуть сами: откройте список «самых разыскиваемых» киберпреступников ФБР — и вот он, смотрит на вас с синего фона9. На вид ему за тридцать, что сходится с датой рождения в резюме: 15 августа 1984 года. Лицо бесстрастное; одет он в строгую рубашку в чёрную полоску и коричневый пиджак. Пройдёте мимо такого на улице — и через пару секунд забудете. И всё же, утверждает ФБР, это и есть настоящее лицо всех псевдонимов, под которыми велась разветвлённая киберпреступная кампания, обрушившая Sony и лишившая Банк Бангладеш десятков миллионов долларов: Расел Ахлам, Андосон Дэвид, Уотсон Хенни, Ким Хён У — всё это лишь роли, которые играл Пак Чин Хёк, управляя из-за клавиатуры своей сетью фальшивых персон. По словам Льюиса, группировка Lazarus перестала быть безликой цифровой угрозой: теперь у неё были имя, фотография и биография. «У всей нашей следственной работы действительно появилось лицо».

Но в каком-то смысле это открытие лишь порождает новые вопросы. Как Пак оказался на работе в китайской компании? Мы уже видели, как Северная Корея ценит математические способности молодёжи и как с их помощью находит и растит государственных хакеров. Но зачем отправлять их за границу — тем более при параноидальной самоизоляции КНДР? На самом деле причины для этого очень веские. История Пак Чин Хёка отражает куда более широкий стратегический подход. Она объясняет, почему столько северокорейских хакеров отправляют за пределы страны и почему они всплывают в самых неожиданных местах.

Шэньян — один из крупнейших городов Китая, в нём живёт чуть больше 9 млн человек. Недалеко от центра стоит отель «Чхильбосан». Снаружи — классическая азиатская гостиница для деловых людей, даже с каменными тиграми по обе стороны от входа.

Именно здесь в 2017 году оказался в командировке американец по имени Марк (имя я изменил: его компания много работает в Китае, где разговоры с иностранными журналистами не приветствуются, и он не хочет ставить под удар будущие контракты). Жильё ему бронировал коллега, так что до приезда об отеле Марк ничего не знал. Первое впечатление было приятным. «Красивое лобби, — рассказывает он. — Весь персонал хорошо одет, к гостям, которые приезжают заселяться, очень внимательны».

Но, регистрируясь, Марк не мог не заметить, как персонал украдкой на него поглядывает. А в лифте стало ещё хуже. «Мы остановились на каком-то промежуточном этаже. Дверь открылась, и кое-кто из постояльцев очень удивился. „Ого, а это ещё кто?“ Один из них буквально отступил на шаг и посмотрел на меня так, будто был в полном шоке. Они вошли в лифт и встали немного особняком, чуть в сторонке. Стояла просто мёртвая тишина».

Отель, в который только что заселился Марк, принадлежал Северной Корее, и она же им управляла, — это становилось всё очевиднее, когда он сел ужинать. «Я оглянулся на телевизор на стене, а там крутят ролики про Корейскую войну. Очень патриотичные, и показывают, как обстреливают американские танки. Я спросил наших сотрудников, которые были со мной: „Это вообще о чём?“ А они говорят: „Если перевести, что там говорят на экране, — о том, как северокорейцы, по сути, отбились от США в Корейскую войну“. И вот я сижу, ужинаю и смотрю всё это патриотическое кино про Северную Корею и про то, как она победила США».

Но подозрительные взгляды в лифте Марк ловил не только потому, что отель принадлежал Северной Корее. По данным следователей ФБР, у «Чхильбосана» есть мрачная тайна. Расследуя взлом Sony, Бюро отслеживало IP-адреса, которыми пользовались атакующие. Некоторые из них вели прямиком в отель «Чхильбосан». И это был не первый случай, когда отель всплывал в кибератаках, приписываемых Северной Корее, говорит Ким Кён Чин, до 2019 года возглавлявший представительство ФБР в посольстве США в Сеуле, а теперь занимающийся кибербезопасностью в FTI Consulting. «По косвенным уликам, которые у нас есть, по разведданным, которые мы собирали много лет, мы подозреваем, что [северокорейские] киберхакеры работают именно оттуда».

А Марк тем временем у себя в «Чхильбосане» начал гуглить отель и наткнулся на сетевые слухи о его тайной жизни. «Тогда-то я и узнал, что его называют „отелем хакеров“», — говорит он.

Впрочем, искать другое жильё на одну ночь было уже поздно, и Марк остался. Но прежде принял разумную меру предосторожности — отключил на телефоне Wi-Fi. (А ещё он оставил в интернете отзыв об отеле на четыре звезды: ему искренне показалось, что за свои деньги отель очень неплох. «Цена была очень разумная. Около 50 долларов — это буквально вдвое дешевле, чем, наверное, в любом сопоставимом отеле».)

Не только Марк и ФБР сталкивались с северокорейскими компьютерщиками, работающими в Китае. До побега из КНДР Ли Хён Сын был успешным бизнесменом со связями и, бесспорно, принадлежал к элите страны. Он родился в Пхеньяне,