Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

Кажется, что её не остановить. Но это было не так. Кто-то остановил эпидемию вируса — резко, с визгом тормозов. И история о том, кто это был и как ему это удалось, — одна из самых безумных в анналах киберпреступности.

Пятница, 12 мая, день, когда ударил вирус, должна была стать для Маркуса Хатчинса выходным. Этот 22-летний парень — открытый, с обаятельной улыбкой и копной кудрявых волос — уже получал шестизначную годовую зарплату как исследователь в американской компании, занимающейся киберразведкой. Он изучал вирусы, или «вредоносные программы», как их называют в профессиональной среде.

Как и многие технари, он начал рано. Когда в тринадцать лет он разобрал семейный компьютер, родители купили ему собственный — для экспериментов, и с тех пор пути назад уже не было. В семнадцать он завёл блог под названием MalwareTech. Его посты прославились подробными разборами компьютерных вирусов. У него появилось множество подписчиков, но они понятия не имели, как его на самом деле зовут и как он живёт: на аватарке блога был кот с надутой мордой в огромных тёмных очках. Хатчинс застенчив, и вести блог под псевдонимом его вполне устраивало.

Есть такой штамп: хакер — это молодой парень, который сидит у себя в спальне. Только в случае Хатчинса это был не штамп. «Я ещё жил с родителями. В спальне у меня стоял весь этот компьютерный сетап и серверная стойка», — рассказывает он мне.

Вся эта высокотехнологичная работа шла в Илфракуме — сонном приморском городке на юго-западе Англии, в нескольких минутах от пляжа, где Маркус занимается сёрфингом. Это живописное местечко в графстве Девон, с извилистыми улочками и лавками мороженого, — совсем не то место, где ожидаешь встретить ведущих мировых технических экспертов. Даже родные Хатчинса не знали, чем он занимается у себя в спальне, — разве что смутно представляли, что это как-то связано с компьютерами. «Я всегда был довольно сдержанным, закрытым человеком, — говорит он. — Поэтому работу я держал строго отдельно от личной жизни. Я особо не рассказывал о том, чем занимаюсь, ни родителям, ни друзьям, ни родственникам».

В ту пятницу Хатчинс начинает день не спеша. Обедает в местной закусочной, где продают рыбу с картошкой. Но, вернувшись и сев за компьютер, обнаруживает, что в разгаре эпидемия вируса.

«По всей Великобритании больницы NHS сообщают, что их поразил один и тот же вредонос, — вспоминает он. — И тут я такой: „Это что-то серьёзное“». Он сразу же связывается со знакомым специалистом по кибербезопасности и добывает образец вируса (в мире информационной безопасности такое сотрудничество — дело довольно обычное).

Перед Хатчинсом — образец программы-вымогателя. Вы наверняка о таких слышали: на момент написания этой книги это самое прибыльное хакерское явление в мире. Одна-единственная разновидность вымогателя принесла одной банде больше 325 млн долларов всего за месяц4. С годами эту ветвь киберпреступного бизнеса постепенно отточили и превратили в весьма эффективный вид цифрового вымогательства.

К тому же его, в отличие от многих других, куда более замысловатых приёмов киберпреступников, на редкость просто объяснить. При атаке программы-вымогателя хакеры заражают ваш компьютер вирусом, который превращает ваши файлы в абракадабру — «шифрует» их. Потом с вас требуют выкуп за то, чтобы вернуть файлы в прежний вид, — чаще всего в виртуальной валюте биткоин, которая при правильном обращении не позволяет проследить платёж до преступника.

Для технаря звучит несложно, но где взять программу, способную шифровать файлы? Что ж, хакерам повезло: Microsoft выпускает именно такую. Если пользователь компьютера хочет зашифровать собственные файлы (например, ради безопасности или конфиденциальности), он может воспользоваться инструментом под названием Windows Crypto. Зашифровав файлы, программа добавляет в конец их имён WINCRY. Разумеется, если вы шифруете свои собственные файлы, ключ расшифровки — у вас, и вы можете вернуть файлы в прежний вид когда угодно.

Те, кто стоял за вирусом мая 2017 года, шифровали файлы жертв с помощью той же программы, но с одной особенностью: ключ расшифровки хранили у себя они и брали с жертв плату за то, чтобы его вернуть. А ещё у них было чувство юмора: они переименовали WINCRY в WannaCry — «хочется плакать»: именно это хочется сделать, когда вы узнаёте, что ваши драгоценные фотографии, почту и музыкальную коллекцию взяли в заложники ради выкупа5.

Пусть бизнес-модель программ-вымогателей и проста, перед ней стоит та же трудность, что и перед многими киберпреступными кампаниями: масштаб. Чтобы получать прибыль, нужно широкое распространение. Как заразить своим вымогателем столько машин, чтобы заработать по-настоящему крупные деньги? Традиционно ответом была спам-рассылка. Но WannaCry применил новую пугающую тактику — это Маркус Хатчинс обнаружил, вглядываясь в код вируса. «WannaCry переходил с компьютера на компьютер, то есть не нужно было открывать вредоносное письмо или нажимать на странную ссылку. Он просто мог взломать ваш компьютер удалённо», — говорит он.

В современном мире, где вся техника связана между собой, это означало, что вирус вышел из-под контроля и распространялся без разбора.

«Все решили, что они охотятся на NHS, — говорит Хатчинс. — Но по всем этим данным было ясно, что целились не в NHS. И даже не в Великобританию. Он бил просто по чему угодно, по всему миру. Масштаб был феноменальный, ничего подобного я раньше не видел. Заражения просто сыпались тысячами каждые несколько секунд. Это ошеломляло».

Не только Маркуса всерьёз встревожило распространение вируса. В пяти километрах от больницы, откуда только что выписали Патрика Уорда, в переулке за станцией метро «Воксхолл», стоит неприметное офисное здание, утыканное камерами видеонаблюдения. Это штаб-квартира британского Национального агентства по борьбе с преступностью (NCA). В ту пятницу утром сотрудники прибавляют звук у телевизора в офисе. Телеканал Sky News сообщает о кибератаке на больницу на северо-западе Англии. Вскоре в NCA начинают сыпаться и другие сообщения, и большинство из них оказывается на столе у Майка Хьюлетта — директора по операциям Национального управления по борьбе с киберпреступностью при агентстве.

«Довольно быстро, где-то к обеду того дня, становится ясно, что это не единичный инцидент, затронувший одну больницу или одну организацию», — говорит он. Вместе с недавно созданным британским Национальным центром кибербезопасности (NCSC) сотрудники NCA должны выяснить, почему вирус распространяется так быстро. Сначала, около полуночи, он ударил по Аргентине, а за полдня уже бушевал по всей Европе. Хьюлетт и его команда устанавливают, что вредоносная программа использует определённый «порт» — цифровую дверь, встроенную в компьютеры, через которую разные машины одной сети общаются друг с другом. А если точнее — порт 445. На некоторых машинах порт 445 пропускает сообщения не только от компьютеров той же сети: он ещё и «смотрит наружу», то есть кто угодно в любой точке мира может отправлять компьютеру сообщения через этот порт — в том числе и