Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

компьютерные вирусы. Так WannaCry и расходится по миру. Он перескакивает с компьютера на компьютер внутри сети, заражая каждый, на который попадает, и шифруя его файлы. Затем рассылает запросы по случайным адресам по всему миру в поисках машины с открытым наружу портом 445. Найдя такую, перескакивает на неё, заражает и начинает распространяться уже внутри её сети.

Чем больше связей у организации, тем легче WannaCry распространяться. А значит, хотя NHS, возможно, и не была намеченной целью, она — один из крупнейших работодателей в мире — оказывается в числе самых пострадавших6.

Как замечает Хьюлетт, «связь по всей стране, благодаря которой ваши результаты, анализы и всё прочее можно быстро пересылать из учреждения в учреждение, означает, что система у вас довольно широко связана и потому особенно уязвима для заражения».

Тем временем Маркус Хатчинс у себя в спальне в Девоне всё ещё препарирует код WannaCry и замечает кое-что необычное. Прежде чем заразить жертву, вирус пытался зайти на определённый сайт с длинным, на первый взгляд случайным адресом. Если сайт оказывался недоступен, вирус приступал к делу: шифровал файлы, требовал выкуп и пытался заразить другие машины. Но если сайт работал, вирус останавливался и не трогал файлы жертвы. И Хатчинсу приходит в голову проверить, кому же на самом деле принадлежит сайт, на который пытается зайти вирус.

«А он был ничей, так что я сразу же его зарегистрировал», — говорит он. Это обходится ему меньше чем в 10 фунтов — дешёвое вложение, у которого, как выражаются бухгалтеры, оказался «значительный потенциал роста». Взяв сайт под свой контроль, Маркус фактически остановил эпидемию. Код вируса видит, что сайт работает, и останавливается: больше не заражает компьютеры и не пытается распространяться. «Уже через несколько секунд после регистрации домена число заражений просто начало падать, — говорит он. — Обычно остановить вредонос — это огромный подвиг: неделями, а то и месяцами бьёшься с ребятами на той стороне. Придумываешь хитрые способы разломать их инфраструктуру. С чем-то настолько простым я никогда не сталкивался».

Маркус только что остановил одну из самых опасных эпидемий компьютерного вируса в мире — по цене большой порции рыбы с картошкой.

Отсюда возникает любопытный вопрос: зачем авторам вируса встраивать такой легко обнаруживаемый «стоп-кран»? Самое убедительное объяснение — WannaCry выпустили раньше, чем он был готов. Авторы вирусов часто встраивают подобный «стоп-кран» для подстраховки, пока разрабатывают вредоносную программу в лаборатории. Тогда, если вирус случайно вырвется наружу, у них будет удобный способ быстро его остановить. Обычно перед запуском вируса «стоп-кран» убирают или маскируют, но в этот раз этого не сделали. Были и другие признаки того, что WannaCry не совсем доделан. Обычно операторы программ-вымогателей создают для каждой жертвы новый адрес биткоин-кошелька (благодаря виртуальной природе биткоина такие адреса создаются одним щелчком мыши), и из-за этого платежи труднее отследить. А в коде WannaCry было прописано всего три биткоин-адреса — и появлялась надежда, что со временем платежи удастся проследить до преступника.

Для Хатчинса найденный «стоп-кран» стал нежданной удачей. Пусть ему и казалось, что всё прошло чуть ли не слишком легко, это не помешало ему прославиться в одночасье. Вскоре британские таблоиды выяснили, кто он такой, и запестрели заголовками о «случайном герое», который спас мир, даже не выходя из спальни. «У них было моё имя, — говорит Хатчинс. — У них была моя фотография, которую они нашли у кого-то в Twitter. А потом они уже разбили лагерь у меня на лужайке, перед калиткой дома. Это был кошмар. Мне никогда особо не нравилась сама идея славы. Я её никогда не хотел. И вдруг все, кто читал мой блог, и вообще все, кто читает мировые СМИ, знают, кто я такой, — это было просто жутко».

Это всерьёз тревожило и Хьюлетта с коллегами из Национального агентства по борьбе с преступностью. Они опасались, что те, кто стоит за WannaCry, теперь могут взяться за Хатчинса. «С точки зрения физического риска, в реальном мире, мы смотрим на это и думаем: „Ты кому-то испортил вечеринку, и неизвестно, кому именно“, — говорит он. — Это мог быть какой-нибудь другой пацан у себя в спальне, а могла быть какая-нибудь мерзкая организованная преступная группировка или государство».

Пусть Хатчинс и боялся оказаться в центре внимания, внезапная слава принесла ему и кое-какие награды: у него прибавились тысячи подписчиков в соцсетях. Местный ресторан предложил ему год бесплатной пиццы. А его родные — в том числе мать, медсестра NHS, — наконец поняли, чем он зарабатывает на жизнь. Но, как мы увидим, за славу ему придётся заплатить страшную цену, которая перевернёт его жизнь. Потому что всё это время Хатчинс хранил тайну — тайну, которая потом бросит длинную тень на его геройство.

Тем временем благодаря его работе атака WannaCry закончилась. Однако ущерб был далеко не устранён. Жертвы, чьи данные зашифровал вирус, так их и не вернули. Особенно тяжёлыми последствия оказались для NHS. В Англии, например, треть организаций, управляющих больницами NHS, либо подверглись заражению, либо были вынуждены отключить компьютеры, чтобы защититься. Пришлось отменить почти 7000 приёмов, в том числе больше сотни срочных онкологических случаев7. Сотрудники NHS, с которыми я говорил, рассказывали, что работали сверхурочно, чтобы восстановить системы и вернуть в график приёмы пациентов, — в том числе и Патрика Уорда: через пару месяцев ему сделали операцию, которая, как он и надеялся, вернула ему здоровье.

Но для Майка Хьюлетта и его коллег из управления NCA по борьбе с киберпреступностью настоящая работа только начиналась. «С киберделами очень часто бывает так, что сам инцидент заканчивается довольно быстро, — говорит он. — А вот что всегда занимает больше времени, так это расследование. У нас одна из самых разрушительных и тяжёлых по последствиям кибератак, какие мы видели в Великобритании за много лет, и наша работа — попытаться установить виновных и привлечь их к ответственности».

Поначалу WannaCry выглядел как типичная программа-вымогатель. Расследуя такие атаки, полиция иногда может применить ту же тактику, что и при похищениях людей: вступить в прямые переговоры с вымогателями и попытаться их выследить. В некоторых прошлых случаях с программами-вымогателями полиции удавалось связаться с преступниками, а порой даже точно установить, где они находятся, и арестовать их. Но с WannaCry Хьюлетту и его команде так не повезло: тот, кто его выпустил, судя по всему, вовсе не был заинтересован в том, чтобы помочь жертвам заплатить выкуп и вернуть данные. «Насколько мне известно, во всём мире не было ни одного случая, чтобы кто-то успешно заплатил нужную сумму и получил взамен ключ расшифровки», — говорит он.

Итак, NCA столкнулось с кампанией программы-вымогателя, организаторы которой, похоже, не стремились получить выкуп. Это настораживало.