Читать книгу - "Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт"

«Здесь мы имеем дело с тем, что на первый взгляд выглядит как преступление с корыстным мотивом, но реального способа заработать на нём нет», — говорит Хьюлетт. Напрашивается одна очевидная версия: за этим стоит не киберпреступная банда, а государство. Понимая, что расследование выйдет на международный уровень, британцы начали делиться находками с американскими коллегами — и вот тут стало по-настоящему неуютно. Потому что, углубившись в изучение вредоносной программы, следователи нашли тревожные улики: невероятно, но часть кода, судя по всему, появилась на свет в недрах самого разведывательного сообщества США.

Версия WannaCry, ударившая в мае 2017 года, была лишь последней в ряду: до неё было по меньшей мере две версии с очень похожим кодом, что наводило на мысль, что за всеми тремя кампаниями стоял один и тот же автор или одна команда. Но ранние версии особого успеха не имели. Майскую версию 2017 года сделали куда разрушительнее два новых фрагмента кода. Названия у них были, как водится, мудрёные — EternalBlue и DoublePulsar, — но именно эти два компонента превратили WannaCry в цифровую пандемию.

Раньше хакерам приходилось рассылать вирусы жертвам по электронной почте и хитростью заставлять их запустить заразу — так и было в Sony и в Банке Бангладеш. EternalBlue и DoublePulsar избавляют от всего этого. Вдвоём они автоматически разносят вирус с компьютера на компьютер через порт 445, а затем, едва он попадает на новый компьютер, автоматически приводят этот заряд в действие8. Хакерам больше не нужно рассылать сомнительные письма и ждать, пока жертва щёлкнет мышью. Этот вирус распространяется сам. Это нечто новое, и для специалистов по кибербезопасности — пугающее.

Но, пожалуй, ещё страшнее то, что эти опасные новые хакерские инструменты создала вовсе не какая-нибудь безвестная киберпреступная банда, а Агентство национальной безопасности США. Чтобы понять, как они в итоге стали заражать компьютеры по всему земному шару, придётся заглянуть в мутный мир торговцев эксплойтами — или, как его ещё называют, рынка кибероружия.

Устроено это так. Представьте, что вы талантливый хакер и наткнулись на уязвимость в какой-нибудь крупной программе (вроде описанного выше трюка с портом 445). Затем вы пишете код, который эту уязвимость использует, — он называется «эксплойт». Вариантов у вас несколько: можно поступить честно и сообщить компании, чью программу вы взломали, в надежде, что она закроет уязвимость; можно поступить нечестно и попытаться незаконно заработать на своей находке; а можно пойти средним путём — продать свои знания кому-то другому, и пусть уже он принимает непростые этические решения о том, как их использовать9.

Третий путь ведёт на рынок кибероружия, где брокеры покупают эксплойты у хакеров и перепродают их организациям, которые хотят ими воспользоваться. Это мир настолько же скрытный, насколько и прибыльный. Иногда удаётся мельком увидеть, насколько именно прибыльный. Например, один брокер предложил 1 млн долларов любому, кто найдёт уязвимость в Tor — программе, на которой держится так называемый «даркнет», сеть скрытых сайтов. Компания брокера утверждала, что перепродаст эксплойт только правительствам и правоохранительным органам10. Многие брокеры кибероружия говорят то же самое, но давайте начистоту: продажа таких инструментов правительству ещё не гарантирует, что их будут использовать этично.

Постоянно искать такие уязвимости в программах, которыми мы все пользуемся, чтобы затем их эксплуатировать, пытаются не только хакеры-фрилансеры. По словам бывшего аналитика Агентства национальной безопасности Присциллы Мориучи, правительства занимаются этим собственными силами: «Правительства будут тратить время на поиск уязвимостей в программах и будут разрабатывать под них эксплойты. Нам это может не нравиться. И нам не нравится, когда этим занимаются наши противники».

Будь мир добрее, любое правительство, узнав об уязвимости в технологиях, тут же поделилось бы этими сведениями со всеми остальными, чтобы защищены были все мы. Но мир не таков. Государственные хакеры активно охотятся за уязвимостями, а создав под них эксплойты, считают их оружием — инструментами для проникновения в системы других государств. Если противник узнает о ваших эксплойтах, толку от них станет меньше. Где это видано, чтобы правительство раздавало своё оружие?11

Что касается эксплойта EternalBlue, то АНБ, судя по всему, знало об уязвимости Microsoft, связанной с портом 445, ещё в 2012 году, но больше пяти лет держало её в секрете. А потом случилось нечто из ряда вон выходящее. Группа хакеров под названием Shadow Brokers — по мнению некоторых, связанная с российским государством — сумела похитить эту смертоносную программу вместе с её приятелем DoublePulsar и выставила их на аукцион. «В итоге аукцион не удался, — говорит Майк Хьюлетт. — Поэтому в начале апреля 2017 года эксплойт выпустили на волю. Этот киберинструмент раздали просто так, чтобы им мог воспользоваться кто угодно».

Американцы вдруг увидели, как их передовое кибероружие утекает в онлайновый преступный мир. Всё равно что на оружейный базар в подворотне, где торгуют пистолетами и бутылками с зажигательной смесью, кто-то пришёл и начал бесплатно раздавать бомбардировщики-невидимки.

К началу 2017 года Microsoft уже предупредили об уязвимости порта 445, и компания выпустила обновление, которое её устраняло. Но обновление не устанавливалось автоматически и не было обязательным, так что миллионы компьютеров остались уязвимыми. Поэтому, когда хакеры выпустили новую разновидность своего вымогателя — теперь с возможностями, любезно усиленными АНБ, — эти компьютеры оказались лёгкой мишенью.

Майк Хьюлетт объясняет: «У вас довольно грубо сделанный вымогатель, прицепленный, по сути, к эксплойту боевого уровня — к тому, что изначально разработало АНБ для каких-то своих целей. Но теперь это превратили в оружие и применяют против стран по всему миру [включая США]. Так что, можно сказать, есть в этом определённая ирония. Отчасти поэтому ФБР и другие американские ведомства так стремились бросить серьёзные силы на то, чтобы выяснить, кто за этим стоит».

И тут NCA и ФБР вот-вот должно было повезти.

В это время ФБР в Лос-Анджелесе всё ещё занималось атаками на Sony Pictures Entertainment и Банк Бангладеш. «ФБР изучает Sony, то есть события 2014 года, а Великобритания — WannaCry 2017-го, — говорит Хьюлетт. — Мы движемся назад во времени, а они — немного вперёд. И в конечном счёте мы пытаемся выстроить цепочку, которая ведёт от одного к другому».

Британские следователи нашли в этой цепочке важнейшее звено. Анализируя ранние версии WannaCry, они обнаружили зацепку. В коде была спрятана таблица с данными, которая помогала хакерам удалённо управлять захваченными компьютерами.

Это заинтересовало группу ФБР в Лос-Анджелесе и Тони Льюиса, помощника федерального прокурора в Калифорнии. «Как только эту таблицу данных обнаружили, её стали искать в других вредоносных программах, — говорит Льюис. — И что вы думаете: ту же самую таблицу мы нашли во вредоносных программах из Sony Pictures и во вредоносных программах из других финансовых учреждений, ставших жертвами тех